以下是从Facebook的身份验证页面获取的示例。将数据添加到会话然后使用javascript重定向到URL的想法是什么?另外为什么要使用uniqid的md5哈希?
<?php
$app_id = "YOUR_APP_ID";
$app_secret = "YOUR_APP_SECRET";
$my_url = "YOUR_URL";
session_start();
$code = $_REQUEST["code"];
if(empty($code)) {
$_SESSION['state'] = md5(uniqid(rand(), TRUE)); //CSRF protection
$dialog_url = "http://www.facebook.com/dialog/oauth?client_id="
. $app_id . "&redirect_uri=" . urlencode($my_url) . "&state="
. $_SESSION['state'];
echo("<script> top.location.href='" . $dialog_url . "'</script>");
}
if($_REQUEST['state'] == $_SESSION['state']) {
$token_url = "https://graph.facebook.com/oauth/access_token?"
. "client_id=" . $app_id . "&redirect_uri=" . urlencode($my_url)
. "&client_secret=" . $app_secret . "&code=" . $code;
$response = file_get_contents($token_url);
$params = null;
parse_str($response, $params);
$graph_url = "https://graph.facebook.com/me?access_token="
. $params['access_token'];
$user = json_decode(file_get_contents($graph_url));
echo("Hello " . $user->name);
}
else {
echo("The state does not match. You may be a victim of CSRF.");
}
?>
答案 0 :(得分:3)
我知道这可能会被定为维基百科链接,但是你可以在http://en.wikipedia.org/wiki/Cross-site_request_forgery找到csrf的完整解释,一旦你完全明白它是什么,你就会明白每个用户有一个独特的令牌可以防止它。预防部分列出了使用每用户令牌作为预防方法。
答案 1 :(得分:1)
它确保您仅在响应网站发起的操作时重定向到此处。阅读https://www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29上的CSRF。
答案 2 :(得分:1)
通过生成硬(不可能)猜测值并将其存储在会话中以及发送请求,此脚本可以验证它是否自己调用而不是其他地方。在其他地方,难以猜测的值将是unknwon,因此无法提供。