php表单加入Token防止重复提交的方法分析

php表单加入Token防止重复提交的方法分析

http://www.jb51.net/article/94395.htm

 

这篇文章主要介绍了php表单加入Token防止重复提交的方法,结合实例形式分析了Token防止重复提交的原理与使用技巧,需要的朋友可以参考下

 

本文实例讲述了php表单加入Token防止重复提交的方法。分享给大家供大家参考,具体如下:

 

Token浅谈

Token,就是令牌,最大的特点就是随机性,不可预测。一般黑客或软件无法猜测出来。

那么,Token有什么作用?又是什么原理呢?

Token一般用在两个地方——防止表单重复提交、anti csrf攻击(跨站点请求伪造)。

两者在原理上都是通过session token来实现的。当客户端请求页面时,服务器会生成一个随机数Token,并且将Token放置到session当中,然后将Token发给客户端(一般通过构造hidden表单)。下次客户端提交请求时,Token会随着表单一起提交到服务器端。

然后,如果应用于“anti csrf攻击”,则服务器端会对Token值进行验证,判断是否和session中的Token值相等,若相等,则可以证明请求有效,不是伪造的。

不过,如果应用于“防止表单重复提交”,服务器端第一次验证相同过后,会将涩session中的Token值更新下,若用户重复提交,第二次的验证判断将失败,因为用户提交的表单中的Token没变,但服务器端session中Token已经改变了。

上面的session应用相对安全,但也叫繁琐,同时当多页面多请求时,必须采用多Token同时生成的方法,这样占用更多资源,执行效率会降低。因此,也可用cookie存储验证信息的方法来代替session Token。比如,应对“重复提交”时,当第一次提交后便把已经提交的信息写到cookie中,当第二次提交时,由于cookie已经有提交记录,因此第二次提交会失败。

不过,cookie存储有个致命弱点,如果cookie被劫持(xss攻击很容易得到用户cookie),那么又一次gameover。黑客将直接实现csrf攻击。

php表单加入Token防止重复提交的方法分析

所以,安全和高效相对的。具体问题具体对待吧。

php表单加入Token防止重复提交

原理在于生成一个随机字符串放在session里,提交表单后来验证这个字符串,可以做到防止他人自己写form来欺骗提交,重复提交或者双击提交。

php表单加入Token防止重复提交的方法分析

简单的用php实现的代码如下:

 
<?php
/*
* PHP简单利用token防止表单重复提交
* 此处理方法纯粹是为了给初学者参考
*/
session_start();
function
set_token() {
  
$_SESSION
[
'token'
] = md5(microtime(true));
}
function
valid_token() {
  
$return
=
$_REQUEST
[
'token'
] ===
$_SESSION
[
'token'
] ? true : false;
  
set_token();
  
return
$return
;
}
//如果token为空则生成一个token
if
(!isset(
$_SESSION
[
'token'
]) ||
$_SESSION
[
'token'
]==
''
) {
  
set_token();
}
if
(isset(
$_POST
[
'test'
])){
  
if
(!valid_token()){
    
echo
"token error"
;
  
}
else
{
    
echo
'成功提交,Value:'
.
$_POST
[
'test'
];
  
}
}
?>
<form method=
"post"
action=
""
>
  
<input type=
"hidden"
name=
"token"
value=
"<?php echo $_SESSION['token']?>"
>
  
<input type=
"text"
name=
"test"
value=
"Default"
>
  
<input type=
"submit"
value=
"提交"
/>
</form>

上面的比较简单一点的方法,下面的代码更加安全一点。

Token.php

 
<?php
/*
 
* Created on 2013-3-25
 
*
 
* To change the template for this generated file go to
 
* Window - Preferences - PHPeclipse - PHP - Code Templates
 
*/
function
getToken(
$len
= 32,
$md5
= true) {
  
# Seed random number generator
  
# Only needed
for
PHP versions prior to 4.2
  
mt_srand((double) microtime() * 1000000);
  
# Array of characters, adjust
as
desired
  
$chars
=
array
(
    
'Q'
,
    
'@'
,
    
'8'
,
    
'y'
,
    
'%'
,
    
'^'
,
    
'5'
,
    
'Z'
,
    
'('
,
    
'G'
,
    
'_'
,
    
'O'
,
    
'`'
,
    
'S'
,
    
'-'
,
    
'N'
,
    
'<'
,
    
'D'
,
    
'{'
,
    
'}'
,
    
'['
,
    
']'
,
    
'h'
,
    
';'
,
    
'W'
,
    
'.'
,
    
'/'
,
    
'|'
,
    
':'
,
    
'1'
,
    
'E'
,
    
'L'
,
    
'4'
,
    
'&'
,
    
'6'
,
    
'7'
,
    
'#'
,
    
'9'
,
    
'a'
,
    
'A'
,
    
'b'
,
    
'B'
,
    
'~'
,
    
'C'
,
    
'd'
,
    
'>'
,
    
'e'
,
    
'2'
,
    
'f'
,
    
'P'
,
    
'g'
,
    
')'
,
    
'?'
,
    
'H'
,
    
'i'
,
    
'X'
,
    
'U'
,
    
'J'
,
    
'k'
,
    
'r'
,
    
'l'
,
    
'3'
,
    
't'
,
    
'M'
,
    
'n'
,
    
'='
,
    
'o'
,
    
'+'
,
    
'p'
,
    
'F'
,
    
'q'
,
    
'!'
,
    
'K'
,
    
'R'
,
    
's'
,
    
'c'
,
    
'm'
,
    
'T'
,
    
'v'
,
    
'j'
,
    
'u'
,
    
'V'
,
    
'w'
,
    
','
,
    
'x'
,
    
'I'
,
    
'$'
,
    
'Y'
,
    
'z'
,
    
'*'
  
);
  
# Array indice friendly number of chars;
  
$numChars
=
count
(
$chars
) - 1;
  
$token
=
''
;
  
# Create random token at the specified length
  
for
(
$i
= 0;
$i
<
$len
;
$i
++)
    
$token
.=
$chars
[mt_rand(0,
$numChars
)];
  
# Should token be run through md5?
  
if
(
$md5
) {
    
# Number of 32 char chunks
    
$chunks
=
ceil
(
strlen
(
$token
) / 32);
    
$md5token
=
''
;
    
# Run each chunk through md5
    
for
(
$i
= 1;
$i
<=
$chunks
;
$i
++)
      
$md5token
.= md5(
substr
(
$token
,
$i
* 32 - 32, 32));
    
# Trim the token
    
$token
=
substr
(
$md5token
, 0,
$len
);
  
}
  
return
$token
;
}
?>

form.php

 
<?php
include_once
(
"token.php"
);
$token
= getToken();
session_start();
$_SESSION
[
'token'
] =
$token
;
?>
<form action=
"action.php"
method=
"post"
<input type=
"hidden"
name=
"token"
value=
"<?=$token?>"
/>
<!-- 其他input submit之类的 -->
</form>

action.php

 

 
<?php
session_start();
if
(
$_POST
[
'token'
] ==
$_SESSION
[
'token'
]){
  
unset(
$_SESSION
[
'token'
]);
  
echo
"这是一个正常的提交请求"
;
}
else
{
  
echo
"这是一个非法的提交请求"
;
}
?>
版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/113407.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)
blank

相关推荐

  • adb安装使用

    adb安装使用adb工具即AndroidDebugBridge(安卓调试桥)tools。它就是一个命令行窗口,用于通过电脑端与模拟器或者真实设备交互。简单的说就是可以通过电脑端的命令行控制手机或者手机模拟器,例如可以控制手机的点击、滑动、安装应用、打开应用、关闭应用、输入文字等。(只适用于安卓手机)1.电脑端安装abdadb不用安装,下载解压就可以用,下载地址:http://pan.baidu.c…

  • VScode 配置 Java 开发环境 (VSCode 天下第一!!!!!)

    VScode 配置 Java 开发环境 (VSCode 天下第一!!!!!)VScode配置Java环境1.下载JDK方式一:手动下载JDKOracleJavaSEAdoptOpenJdkAzulZuluforAzure-EnterpriseEdition方式二:VSCode中下载JDK按下Ctrl+Shift+P输入Java:ConfigureJavaRuntime2.添加JDK环境下面两种方式只…

  • 总结进制转换的方法_八进制计算方法

    总结进制转换的方法_八进制计算方法今天朋友去面试,面试官问他八进制转换二进制方式原理,他突然间蒙逼了,在常见的计算机知识当中,这种最基础的知识,常常会被人给忘记,所以今天我来写一篇进制转换的总结,来复习巩固一下。本文参考百度经验(https://jingyan.baidu.com/article/495ba84109665338b30ede98.html),如有侵权,请通知删除先讲一下定义吧,进制也就是进制位,对于接触过电脑的…

  • .NET NPOI导出Excel详解[通俗易懂]

    .NET NPOI导出Excel详解[通俗易懂]NPOI,顾名思义,就是POI的.NET版本。那POI又是什么呢?POI是一套用Java写成的库,能够帮助开发者在没有安装微软Office的情况下读写Office的文件。支持的文件格式包括xls,doc,ppt等。官方网站:http://npoi.codeplex.com/nuget直接获取使用一、NPOI生成Excel//创建…

  • LaTeX的下载安装及使用教程

    LaTeX的下载安装及使用教程1.关于 LaTeX和CTeXLaTeX是一种基于ΤΕΧ的排版系统,由美国计算机学家莱斯利·兰伯特(LeslieLamport)在20世纪80年代初期开发,利用这种格式,即使使用者没有排版和程序设计的知识也可以充分发挥由TeX所提供的强大功能,能在几天,甚至几小时内生成很多具有书籍质量的印刷品。对于生成复杂表格和数学公式,这一点表现得尤为突出。因此它非常适用于生成高印刷质量的科技和数学类文档…

  • 基于云平台的物联网架构和原理设计_物联网的架构

    基于云平台的物联网架构和原理设计_物联网的架构基于云平台的物联网架构和原理云的服务架构云计算是通过各种技术手段服务客户的一种方式,包括三层服务模式,即最底层的IaaS(基础设施即服务),中间层的PaaS(平台即服务),和顶层的SaaS(软件即服务)。IaaS:最底层,为客户提供基础设施资源,包括计算、存储、网络等,这是构建云平台和云应用的硬件支撑,同时它本身作为一种服务,面向使用者(如单纯的存储数据)和开发者(如使用服务器)。P…

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号