如何为OWASP CSRF Protector PHP配置Cookie的HttpOnly与SameSite属性

现状说明 #

我在使用OWASP CSRF Protector PHP做CSRF防护时，需要给反CSRF Cookie配置HttpOnly和SameSite属性，但官方配置文档里仅支持配置Cookie的path、domain、secure三个参数，手动在配置里加HttpOnly和SameSite完全无效。目前只能靠修改源码实现需求，另外开启HttpOnly会导致AJAX请求失效，所以暂时注释了这个配置项。

临时源码修改方案 #

找到文件 vendor/owasp/csrf-protector-php/libs/csrf/csrfprotector.php 第417行，替换原setcookie调用逻辑：

原代码：

setcookie(
            self::$config['CSRFP_TOKEN'], 
            $token,
            time() + self::$cookieConfig->expire,
            self::$cookieConfig->path,
            self::$cookieConfig->domain,
            (bool) self::$cookieConfig->secure);

修改后代码：

setcookie(
            self::$config['CSRFP_TOKEN'], 
            $token,
            array(
                'expires' => time() + self::$cookieConfig->expire,
                'path' => self::$cookieConfig->path,
                'domain' => self::$cookieConfig->domain,
                'secure' => (bool) self::$cookieConfig->secure,
                //'httponly' => true, // 开启会导致AJAX失效，暂时注释
                'samesite' => 'Strict',
            )
        );

更优方案建议 #

1. 向官方提需求：给项目仓库提交Issue，建议在配置项里新增HttpOnly和SameSite的支持，避免后续依赖包更新时丢失自定义修改。
2. 自定义包装逻辑：不修改源码的前提下，通过自定义中间件或包装类拦截Cookie设置流程，手动添加所需属性，不过这需要熟悉框架的Cookie处理机制。
3. 适配AJAX兼容HttpOnly：如果要开启HttpOnly，可以调整前端逻辑——不再让AJAX读取Cookie里的Token，而是由后端把Token注入到页面的meta标签或其他非Cookie存储中，前端请求时从这些位置获取Token并放在请求头/参数里。

内容的提问来源于stack exchange，提问作者Vianick Oliveri