Anti-CSRF表单令牌验证始终失败，提交同页致token重生成问题求助

嘿，这个问题我见过好多次了——你踩的坑太典型啦！当表单提交到当前页面时，页面会重新加载，服务器端的初始化代码会重新生成新的$token，结果就是你提交的是上一次页面加载时的旧令牌，而验证时用的是刚生成的新令牌，当然永远匹配不上啦。

核心思路 #

要搞定这个问题，关键是在验证令牌之前绝对不要重新生成新令牌，只有在首次加载页面或者验证成功后，才生成新令牌；另外，一定要把令牌存在服务器端的会话（session）里，这样跨请求才能保持一致，验证时直接与会话里的令牌比对就行。

具体实现步骤 #

1. 正确初始化会话并管理令牌生命周期 #

首先得确保你已经开启了会话，因为令牌需要靠会话跨请求存储：

session_start();

// 只有在首次加载页面，或者验证成功后，才生成新的CSRF令牌
if (!isset($_SESSION['csrf_token']) || (isset($_POST['submit']) && $_SESSION['csrf_token'] === $_POST['csrf_token'])) {
    // 用加密安全的方法生成令牌，PHP7+推荐用random_bytes
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

2. 在表单中嵌入会话里的令牌 #

表单里要输出的是会话中存储的令牌，而不是每次页面加载都重新生成的新令牌：

<form method="post" action="">
    <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">
    <!-- 这里放你的其他表单字段 -->
    <button type="submit" name="submit">提交表单</button>
</form>

3. 把令牌验证逻辑放在最前面 #

当表单提交时，先做令牌验证，通过之后再处理业务逻辑：

if (isset($_POST['submit'])) {
    // 第一步：验证CSRF令牌
    if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
        die("CSRF验证失败，请返回重试！");
    }

    // 第二步：令牌验证通过，处理你的表单业务逻辑
    // 比如：存储用户输入、更新数据库等等
    // ...

    // 可选操作：验证成功后可以生成新令牌，防止用户重复提交表单
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

额外提醒 #

• 一定要把session_start()放在所有HTML输出之前，不然会触发会话启动失败的错误。
• 别用rand()或者mt_rand()生成令牌，这些方法不是加密安全的，推荐用random_bytes()（PHP7+）或者openssl_random_pseudo_bytes()（PHP5.3+）。
• 不要把令牌存在客户端的Cookie里（除非你用的是双重提交验证模式），服务器端会话存储是更安全的选择，能避免客户端篡改令牌。

内容的提问来源于stack exchange，提问作者EWobble