Résoudre les problèmes de jeton CSRF dans les soumissions de forme PHP

Apprenez à gérer efficacement les jetons CSRF dans les formulaires PHP pour éviter les erreurs pendant la soumission des données. Notre guide étape par étape simplifie le processus pour les développeurs. --- Cette vidéo est basée sur la question https://stackoverflow.com/q/75143606/ a demandé par l'utilisateur 'Amntago Shifeg' (https://stackoverflow.com/u/21007595/) et sur la réponse https://stackoverflow.com/a/75143736/ par l'utilisateur '(lk77 "(75143736/ par l'utilisateur' (lk7777/a/75143736/ par l'utilisateur '(lk77' ( https://stackoverflow.com/u/8126784/) sur le site "Stack Overflow '. Merci à ces grands utilisateurs et à la communauté StacKExchange pour leurs contributions. Visitez ces liens pour le contenu original et tout plus de détails, tels que des solutions alternatives, les dernières mises à jour / développements sur le sujet, les commentaires, l'historique de révision, etc. Par exemple, le titre original de la question était: Impossible de soumettre des données contenant du code pour éviter les attaques CSRF à l'aide de PHP également, le contenu (sauf la musique) sous licence CC By-Sa https://meta.StackexChange La licence 'CC BY-SA 4.0' (https://creativecommons.org/licenses/by-sa/4.0/), et le poste de réponse original est concédé sous licence 'CC BY-SA 4.0' (https://creativecomons.org/licenses/by-sa/4.0/). Si quelque chose vous semble, n'hésitez pas à m'écrire chez vlogize [at] gmail [dot] com. --- La résolution des problèmes de jetons CSRF dans les soumissions de formulaires PHP soumettant des données à partir de formulaires en PHP peut parfois entraîner des complications, en particulier en ce qui concerne les attaques de contrefaçon de demande de site transversal (CSRF). De nombreux développeurs rencontrent des problèmes lorsque leur soumission de formulaire est incorrectement signalée comme une attaque potentielle du CSRF. Cela résulte souvent de la façon dont les jetons sont générés et validés pendant le processus de soumission. Dans ce guide, nous explorerons un problème commun lié à la gestion des jetons CSRF et fournirons une solution efficace. Le problème lors de la tenue de soumettre un formulaire qui comprend un jeton CSRF pour la sécurité, les développeurs peuvent faire face à des situations où la soumission du formulaire échoue avec un message d'erreur indiquant une attaque CSRF. Cela peut être incroyablement frustrant, surtout si la soumission est en effet légitime. Dans le scénario typique, le script PHP signale la soumission de formulaire comme invalide même si aucune attaque réelle ne se produit. Voici un exemple d'un tel scénario avec le code PHP donné: [[voir la vidéo pour révéler cet extrait de texte ou de code]] Le principal problème ici est qu'un nouveau jeton est généré à chaque demande, ce qui conduit à une validation incohérente contre les jetons précédemment générés. Il en résulte que la forme est rejetée même lorsqu'elle est valide. La solution pour résoudre ce problème, nous devons nous assurer que le jeton CSRF est régulièrement stocké dans la session de l'utilisateur et réutilisé pour la validation lors des soumissions de formulaires. Ci-dessous, nous fournissons une approche raffinée pour implémenter correctement la gestion des jetons CSRF dans PHP. 1. Modifiez la génération de jetons au lieu de générer un nouveau jeton CSRF à chaque demande, nous vérifions d'abord si un jeton existe déjà dans la session. S'il n'existe pas, nous en générons un nouveau. Cela garantit que le même jeton est utilisé à la fois dans la session et la soumission du formulaire. Extrait de code mis à jour: [[voir la vidéo pour révéler cet extrait de texte ou de code]] 2. Mettez à jour l'entrée du formulaire HTML ensuite, assurez-vous que l'entrée masquée dans votre formulaire utilise la valeur de jeton de session correcte. Au lieu de faire référence à un jeton nouvellement généré, vous devez référencer le jeton stocké dans la session. La balise d'entrée correcte dans votre HTML devrait ressembler à ceci: [[voir la vidéo pour révéler cet extrait de texte ou de code]] 3. Résumé En adoptant ces modifications, vous vous assurez que votre gestion de jeton CSRF est fiable et que les soumissions de formulaires légitimes ne sont pas bloquées erronées. Voici les principaux points à retenir: Initialisation du jeton: Vérifiez un jeton existant dans la session pour éviter de générer un nouveau inutilement. Cohérence de validation: validez toujours le jeton par rapport à la valeur stockée dans la session. Régénération des jetons: envisagez de régénérer le jeton après une soumission réussie pour améliorer la sécurité. Avec ces ajustements, vous pouvez protéger vos formulaires des attaques CSRF tout en garantissant des soumissions lisses et sans erreur. En appliquant ce dont nous avons discuté, vous pouvez considérablement augmenter la fiabilité et la sécurité de vos formulaires PHP. Codage heureux!