防止伪造跨站请求

在媒体的帮助下，跨站脚本（XSS）成为了大家关注的焦点，当然它是绝对应当关注的。XSS 是 web 应用中最常见的安全隐患，许多流行的开放源代码的 PHP 应用程序受到 XSS 隐患的困扰。

XSS 攻击发生在下面的情况下：

这是如何发生的？如果显示一个从外部获得的没有很好过滤的内容，则会产生 XSS 安全隐患。外来数据不仅限于客户端的数据。同时也包含显示在 web 邮件上的电子邮件、广告条、聚合 blog 以及类似的东西。任何从外部获得的，不在代码中的信息都是外部数据，这意味着多数数据都是外部数据。

忽略名字上的相似程度，伪造跨站请求（CSRF）是几乎完全相反的攻击方式。XSS 是利用用户对网站的信任展开攻击；CSRF 是利用网站对用户的信任展开攻击。CSRF 攻击更加危险，更少遇到（意味着对于开发者没有更多资料），并且比起 XSS 攻击更加难以防御。

CSRF 攻击发生在下面的情况下：

由于 CSRF 攻击包含伪造 HTTP 请求，熟悉底层 HTTP 协议就变得非常重要。

伪造跨站请求介绍

　　伪造跨站请求比较难以防范，而且危害巨大，攻击者可以通过这种方式恶作剧，发spam信息，删除数据等等。这种攻击常见的表现形式有：

　　伪造链接，引诱用户点击，或是让用户在不知情的情况下访问

　　伪造表单，引诱用户提交。表单可以是隐藏的，用图片或链接的形式伪装。

　　比较常见而且也很廉价的防范手段是在所有可能涉及用户写操作的表单中加入一个随机且变换频繁的字符串，然后在处理表单的时候对这个字符串进行检查。这个随机字符串如果和当前用户身份相关联的话，那么攻击者伪造请求会比较麻烦。

　　yahoo对付伪造跨站请求的办法是在表单里加入一个叫.crumb的随机串 ;而facebook也有类似的解决办法，它的表单里常常会有post_form_id和fb_dtsg。

实例：

Php代码  

1. <?php   
2.   
3. class Crumb {                                                                                                     
4.    
5.     CONST SALT = "your-secret-salt";                                                            
6.    
7.     static $ttl = 7200;                                                                                              
8.    
9.     static public function challenge($data) {   
10.         return hash_hmac(‘md5‘, $data, self::SALT);   
11.     }                                                                                                                
12.    
13.     static public function issueCrumb($uid, $action = -1) {   
14.         $i = ceil(time() / self::$ttl);   
15.         return substr(self::challenge($i . $action . $uid), -12, 10);   
16.     }                                                                                                                
17.    
18.     static public function verifyCrumb($uid, $crumb, $action = -1) {   
19.         $i = ceil(time() / self::$ttl);                                                                              
20.    
21.         if(substr(self::challenge($i . $action . $uid), -12, 10) == $crumb || substr(self::challenge(($i - 1) . $action . $uid), -12, 10) == $crumb) return true;                                                                                             
22.         return false;   
23.     }                                                                                                                
24.    
25. }   
26.   
27. $uid = 112;  
28. if($_POST[‘submit‘] == ‘submit‘) echo Crumb::verifyCrumb($uid, $_POST[‘crumb‘]) ? ‘good‘ : ‘bad‘;  
29.   
30. ?>  
31. <form method="post">   
32. <input type="hidden" name="crumb" value="<?php echo Crumb::issueCrumb($uid)?>">   
33. <input type="text" name="content">   
34. <input type="submit" name="submit" value="submit">   
35. </form>