如何让PHP接口仅响应自有Web表单，拒绝第三方表单请求

这确实是Web开发里非常常见的安全痛点——要确保你的PHP处理页面只响应自己域名下的表单提交，对吧？既然HTTP_REFERER不可靠，JWT又容易被爬取复用，那咱们来聊聊几个真正靠谱的解决方案：

1. 标准方案：CSRF令牌（同步器模式） #

这是目前业界最通用、最成熟的防跨站提交方案，核心逻辑是给每个合法表单绑定一个仅服务器和当前用户会话知晓的唯一令牌：

• 当用户加载表单页面时，生成一个随机且唯一的令牌（推荐用PHP的random_bytes(32)生成，再转成十六进制，安全性比rand()高得多）
• 把令牌同时存在两个地方：用户的会话（$_SESSION['csrf_token']）和表单的隐藏字段中
• 处理POST请求时，先验证请求中的令牌是否与会话内的令牌完全匹配，同时确保会话本身是有效的

代码示例： #

// 表单页面：生成并嵌入令牌
session_start();
// 会话中无令牌则生成新的
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
?>
<form method="POST" action="submit-handler.php">
    <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">
    <!-- 其他表单字段 -->
    <button type="submit">提交</button>
</form>

// 处理页面：验证令牌
session_start();
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // 检查令牌是否存在且匹配
    if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
        die("非法请求：无效的CSRF令牌");
    }
    // 验证通过，处理表单数据
    // 可选：提交后刷新令牌，防止重复提交
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

2. 匿名表单适配：会话绑定验证 #

如果你的表单不需要用户登录（匿名提交），可以利用浏览器的同源策略，绑定会话标识：

• 用户访问表单页面时，PHP自动创建会话（默认通过Cookie发送会话ID）
• 在会话中标记“该用户已加载过表单”的状态
• 处理POST请求时，检查请求是否携带了有效的会话Cookie，且会话内存在“已加载表单”的标记
• 其他域名的表单无法获取你域名下的会话Cookie，提交的请求会因无有效会话被拒绝

3. 高安全性方案：HMAC签名验证 #

这个方案比JWT更安全，因为签名密钥仅存于服务器端，客户端无法获取或伪造：

• 表单加载时，服务器基于当前会话ID、时间戳、随机盐值，用服务器密钥生成HMAC哈希签名
• 把时间戳、盐值、签名作为隐藏字段嵌入表单
• 处理请求时，服务器用相同的参数重新计算签名，对比是否一致；同时检查时间戳是否在有效期内（比如5分钟），防止重放攻击

代码示例： #

// 表单页面：生成HMAC签名
session_start();
$secret_key = '你的服务器私有密钥（务必保密，不要硬编码在公开代码里）';
$timestamp = time();
$salt = bin2hex(random_bytes(16));
// 基于会话ID、时间戳、盐值生成签名
$signature = hash_hmac('sha256', $_SESSION['PHPSESSID'] . $timestamp . $salt, $secret_key);
?>
<form method="POST" action="submit-handler.php">
    <input type="hidden" name="timestamp" value="<?php echo $timestamp; ?>">
    <input type="hidden" name="salt" value="<?php echo $salt; ?>">
    <input type="hidden" name="signature" value="<?php echo $signature; ?>">
    <!-- 其他表单字段 -->
</form>

// 处理页面：验证签名
session_start();
$secret_key = '你的服务器私有密钥';
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!isset($_POST['timestamp'], $_POST['salt'], $_POST['signature'])) {
        die("非法请求：缺少必要验证参数");
    }
    // 检查请求是否过期（5分钟内有效）
    if (time() - $_POST['timestamp'] > 300) {
        die("请求已过期，请重新提交");
    }
    // 重新计算签名并对比
    $calculated_signature = hash_hmac('sha256', $_SESSION['PHPSESSID'] . $_POST['timestamp'] . $_POST['salt'], $secret_key);
    // 用hash_equals避免时序攻击
    if (!hash_equals($calculated_signature, $_POST['signature'])) {
        die("签名验证失败：非法请求");
    }
    // 处理表单数据
}

额外注意事项 #

• 一定要结合HTTPS使用，防止请求被中间人劫持，窃取令牌或签名
• 不要把服务器密钥暴露给客户端，建议存在环境变量或加密的配置文件中
• 对于敏感表单（比如支付、修改账号），可以再搭配验证码（如reCAPTCHA），进一步提升安全性
• 不要依赖单一方案，建议组合使用（比如CSRF令牌+会话验证）

内容的提问来源于stack exchange，提问作者JeffProd