HTML表单与PHP API中Anti-CSRF令牌未生效的问题排查

核心问题分析 #

你的防护失效大概率是因为令牌验证逻辑存在漏洞，或者Session未正确共享，导致恶意请求无需正确令牌即可通过验证。以下是具体修复方案：

1. 修复令牌生成逻辑：避免每次页面加载都覆盖令牌 #

当前HTML页面每次加载都会强制重置Session令牌，这不仅会导致多标签页提交失败，还可能让攻击者利用页面刷新的时机绕过验证。修改为仅在Session无令牌时生成：

<?php
session_start();
// 仅当Session中无有效令牌时才生成新令牌
if (!isset($_SESSION['token']) || empty($_SESSION['token'])) {
    $_SESSION['token'] = bin2hex(random_bytes(24));
}
?>

2. 确保JavaScript提交时携带令牌 #

如果你的JS提交代码没有包含表单中的token隐藏字段，API端收到的令牌为空，结合弱类型比较就会意外通过验证。检查并修改JS代码：

// 方式1：直接使用FormData自动收集所有表单字段
const form = document.getElementById('entryForm');
form.addEventListener('submit', function(e) {
    e.preventDefault();
    const formData = new FormData(form);
    fetch('/your-api-url.php', {
        method: 'POST',
        body: formData
    });
});

// 方式2：手动收集字段时务必包含token
const data = {
    name: document.getElementById('EntryName').value,
    dob: document.getElementById('EntryDob').value,
    // ...其他字段
    token: document.querySelector('input[name="token"]').value
};

3. 修复API端的验证逻辑：增加存在性检查与严格比较 #

当前API端的验证逻辑存在两个致命问题：

• 未检查$_REQUEST['token']和$_SESSION['token']是否存在，空值/未定义值会通过弱类型==判断为相等
• 使用弱类型比较可能导致意外匹配（比如0 == ""）

修改API代码：

<?php
session_start();
// 先检查两个令牌是否都存在，再做严格类型比较
if (isset($_REQUEST['token'], $_SESSION['token']) && $_REQUEST['token'] === $_SESSION['token']) {
    // 验证通过，执行业务逻辑
    $nombre = $_REQUEST['name'];
    $fecha_nacimiento = $_REQUEST['dob'];
    $signosolar = $_REQUEST['signosolar'];
    $signolunar = $_REQUEST['signolunar'];
    $retrogrado = $_REQUEST['retrogrado'];
    
    // 验证通过后销毁令牌，防止重复使用
    unset($_SESSION['token']);
    // ...后续代码
} else {
    // 使用403 Forbidden更符合权限验证失败的语义，而非405方法不允许
    header($_SERVER['SERVER_PROTOCOL'] . ' 403 Forbidden');
    exit;
}
?>

4. 确保页面与API的Session共享正常 #

如果HTML页面和API脚本的Session配置不一致，API端将无法获取页面设置的令牌，导致验证逻辑失效：

• 检查php.ini中的session.cookie_domain，确保页面和API的Cookie域名一致（比如设置为.yourdomain.com支持子域名）
• 确认session.cookie_path为/，避免路径限制导致Session Cookie无法传递
• 若使用HTTPS，开启session.cookie_secure = On，防止Cookie在HTTP请求中丢失
• 保证session.save_path在页面和API的PHP配置中相同，确保Session数据存储位置一致

内容的提问来源于stack exchange，提问作者user22741203