PHP-如何在同一页面上以多种形式使用csrf令牌

Question

我在同一页上有两个表单。我想在两种形式中都使用csrf令牌。当我尝试使用它时，它会在表单提交时重新生成csrf令牌。

我该如何解决这个问题？

<?php
function csrf_token() {
return bin2hex(random_bytes(35));
}
function create_csrf_token() {
$token = csrf_token();
$_SESSION['csrf_token'] = $token;
$_SESSION['csrf_token_time'] = time();
return $token;
}
function csrf_token_tag() {
$token = create_csrf_token();
return '<input type="hidden" name="csrf_token" value="' . $token . '">';
}
$csrf_token = csrf_token_tag();
?>
<form action="" method="post">
...
<?= $csrf_token; ?>
</form>
<form action="" method="post">
...
<?= $csrf_token; ?>
</form>

Answer 1

刷新页面时，函数created_csrf_token会再次启动，从而更改CSRF令牌。

正如Lawrence所评论的那样，你可以观察它。例如

<?php
function csrf_token() {
return bin2hex(random_bytes(35));
}
function create_csrf_token() {
if (isset($_SESSION['csrf_token'])) {
return $_SESSION['csrf_token'];
}
$token = csrf_token();
$_SESSION['csrf_token'] = $token;
$_SESSION['csrf_token_time'] = time();
return $token;
}
function csrf_token_tag() {
$token = create_csrf_token();
return '<input type="hidden" name="csrf_token" value="' . $token . '">';
}
$csrf_token = csrf_token_tag();
?>
<form action="" method="post">
...
<?= $csrf_token; ?>
</form>
<form action="" method="post">
...
<?= $csrf_token; ?>
</form>

在create_csrf_token中添加isset将检查CSRF令牌是否已设置，并返回现有令牌，而不是创建新令牌。

不过，您可能需要添加一些逻辑，在大约5分钟后创建一个新的CSRF令牌。