查看源代码导致CSRF令牌变更的技术咨询

这个坑我之前踩过！核心原因特别直白：当你点击“查看源代码”时，浏览器其实偷偷给服务器发了一次登录页面的GET请求，如果你的代码是每次加载登录页面就无条件重新生成$_SESSION['validation']令牌，那这次请求就会把你第一次打开页面时生成的令牌给覆盖掉。等你返回原页面点登录，用的还是旧令牌，自然就校验失败了。

先排查你的代码逻辑 #

大概率你的代码是类似这样的错误写法：

session_start();
// 每次加载页面都重置令牌，这是问题根源
$_SESSION['validation'] = bin2hex(random_bytes(32));

这种写法会导致任何对登录页面的请求（包括查看源代码、刷新、甚至浏览器预加载）都更新令牌，直接引发冲突。

正确的令牌生成逻辑 #

应该只在没有令牌的时候或者校验失败/登录成功后才生成新令牌，而不是每次加载页面都生成：

session_start();

// 仅当session中无有效令牌时生成新的
if (!isset($_SESSION['validation'])) {
    $_SESSION['validation'] = bin2hex(random_bytes(32));
}

// 处理登录提交
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $submittedToken = $_POST['validation'] ?? '';
    $sessionToken = $_SESSION['validation'] ?? '';

    if ($submittedToken === $sessionToken) {
        // 令牌校验通过，处理登录逻辑
        // 比如验证用户名密码、设置登录状态等
        // ...

        // 登录成功后建议销毁旧令牌，防止重复提交
        unset($_SESSION['validation']);
        header('Location: /dashboard.php');
        exit;
    } else {
        // 校验失败，提示错误并生成新令牌供重试
        $error = "CSRF校验失败，请重新尝试";
        $_SESSION['validation'] = bin2hex(random_bytes(32));
    }
}

额外的安全优化建议 #

• 给令牌加过期时间：可以在session里同时存$_SESSION['validation_expire'] = time() + 3600;，校验时先判断是否过期，避免令牌长期有效。
• 开启session.cookie_httponly = true：在php.ini里配置，防止XSS攻击窃取session中的令牌。
• 令牌绑定用户会话：可以把令牌和用户的IP、User-Agent做简单绑定，进一步提升安全性（虽然不是必须，但能增加攻击成本）。

内容的提问来源于stack exchange，提问作者Syed Sarmad Ali