处理时的CSRF令牌验证

Question

我已经看到有关此主题的问题，但似乎找不到解决方案。 在索引页面的顶部，我只是在做

<?php
session_start();

function generate_secure_token($length = 16) {
    return bin2hex(openssl_random_pseudo_bytes($length));
}

$_SESSION['token'] = generate_secure_token();
$token = $_SESSION['token'];

?>

然后，我将$token设置$token表单中的隐藏字段。 我的问题与表格的处理有关。 此刻我有

if ( empty( $_POST[ 'csrf_token' ] ) )
{
    $errors['token'] = 'Something went wrong';
}

因此，它仅检查令牌是否存在。 这够了吗？ 我看到了其他示例重新创建令牌，然后将其与会话令牌进行比较，但不确定是否需要此令牌？

关于如何验证这一点的任何建议都应受到赞赏。

谢谢

Answer 1

您应该将给定令牌与会话令牌进行比较，以确保引入的令牌有效：

if ( empty( $_POST[ 'csrf_token' ] ) ||  
     $_POST[ 'csrf_token' ] != $_SESSION['token'])
{
    $errors['token'] = 'Something went wrong';
}