【PHP】（原创）之表单FORM的formhash校验，以TP3.2示例

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

1、目的：每次表单POST提交（ajax的POST也适用）过来数据，都必须校验formhash参数是否和服务器端的一致，不一致说明重复提交或者跨站攻击提交csrf

2、原理：参照了 KPPW 的formhash生成和校验示例。将formhash的生成写入基类构造函数，每次登陆用户操作数据，都生成hash并进行比较。

（用户未登录状态，也可以校验formhash，可以让你的网站免于遭受无状态脚本提交数据攻击）

3、formHash的生成代码：注意这里的formhash一般都是每个用户均不相同，且每个用户的formhash值在几个月以内都是不会变更的。

<?php

/*

 * 再次封装的BaseController基类 --by xzz 2018/02/07

 * 包括：表单formhash校验原理如下：

 * 将formhash放在构造函数里，GET访问页面生成formhash并渲染在页面，用户提交表单，POST经过构造函数再一次生成一样的formhash

 */

namespace Admin\Controller;

user Think\Controller;

class BaseController extends Controller {

    public function __construct(){

        parent::__construct();

        define("FORMHASH", self::formhash());

        @session_start();

    }

    /* 生成表单随机码，防止XSS攻击，无需同步存储于内存缓存（redis/Mencached）中

     * 返回6位随机码

     */

    static function formhash() {

        $uid = null;

        $username = null;

        if (isset ( $_SESSION ['uid'] )) {

            $uid = $_SESSION ['uid'];

        }

        if (isset ( $_SESSION ['username'] )) {

            $username = $_SESSION ['username'];

        }

        return substr ( md5 ( substr ( time (), 0, - 7 ) . $uid . $username ), - 6 );

    }

    /*

     * formhash校验，传过来的formhash和提交动作再次生成的FORMHASH变量一致，校验通过；否则重复提交

     */

    static function submitcheck($formhash, $return_json = false) {if (! empty ( $formhash ) && $_SERVER ['REQUEST_METHOD'] == 'POST') {

            if ((empty ( $_SERVER ['HTTP_REFERER'] ) || preg_replace ( "/https?:\/\/([^\:\/]+).*/i", "\\1", $_SERVER ['HTTP_REFERER'] ) == preg_replace ( "/([^\:]+).*/", "\\1", $_SERVER ['HTTP_HOST'] )) && $formhash == FORMHASH) {

                return true;

            } elseif ($return_json == true) {

                return false;

            }

        } else {

            return false;

        }

    }

    /* 发送邮件类 -xzz 2018/02/06 */

    public function add2(){
　　　　//校验用户是否登录
　　　　// do user is login ?

        header("content-type:text/html;charset=utf-8");

        if(IS_POST){

            var_dump($_POST);

            if(self::submitcheck(trim($_POST['formhash']))){

                if(SendMail($_POST['mail'],$_POST['title'],$_POST['content']))

                    $this->success('发送成功！');

                else

                    $this->error('发送失败');

            }else{

                exit("formhash错误");

            }

        }elseif(IS_GET){

            $this->assign("FORMHASH",FORMHASH);$this->display();

        }

    }

}