我使用$ _POST将通过HTML表单发送的数据读取到服务器，从而缩小攻击曝光范围。 如何在表单中使用某种令牌来加强安全性？ 令牌可以是可读的，但有一个嗅探器......
****编辑***** 我同意上面的消息是通用的...我会尝试提供更多细节！
好的，PHP / Server生成的电子邮件包含一些用户修订的数据;这是通过包含HTML表单的HTML电子邮件完成的。当用户收到这些电子邮件时，他们会编辑表单中的数据，然后将其发送回服务器，然后将其存储在数据库中。
对于其他类型的交互用户/服务器，需要登录/身份验证，在这种情况下，某些特定的电子邮件客户端（如移动电话）确实允许读取HTML电子邮件和处理表单，遗憾的是不允许客户端身份验证（服务器端登录） ）事先处理表格。
收到表单后，服务器端会发生什么？ 使用$ _POST，消除了潜在的GET弱点，但使用$ _POST不会阻止其他类型的攻击，只是因为嗅探器可以轻松“读取”正在发送的数据。
解析并剥离服务器端的数据，删除不安全的Javascript和引用文本以防止注入和其他类型的攻击。</ p>
这就是为什么我正在寻找一种令牌/随机技术，但我认为令牌在形式中是可以嗅探的......这就是我的帮助请求开始的地方！
答案 0 :(得分：2)
以下是您应该了解的一些事项。
答案 1 :(得分：2)
您可能指的是CSRF（跨站点请求伪造）。 Chris Shiftlett wrote an article about it解释了这个概念。
答案 2 :(得分：0)
好的，我发现Wordpress为NONCES提供了自己的API。 我现在要做的是在包含NONCE的表格中添加输入字段;当用户将表单发送到服务器时，NONCE将进行验证。
在NONCE发布/验证之间发生的单圈时间内，攻击者有可能使用**表单中包含的NONCE获取访问权限。虽然很难：攻击者应该嗅探数据，抓住NONCE并立即使用它来加载数据库中的“东西”...... 假设内容被剥离和去除文件，它可以加载什么？
此外，因为WP NONCES是使用常量创建的：
wp_create_nonce ('my-nonce');
这将需要一些额外的任务来以这种方式使用变量生成的NONCES攻击者更难以跟踪模式以生成NONCE ......
您怎么看？