为何当前表单的CSRF防护脚本未生效？验证机制排查

你的脚本无法提供CSRF防护的核心原因很明确：你只是在HTML表单里添加了CSRF token字段，但后端处理表单提交的PHP代码完全没有执行任何token验证逻辑。NoCSRF类的check()方法是防护的关键，但你根本没调用它，所以不管token是否正确，表单都会被正常处理。

具体修复步骤 #

1. 确保Session已启动 #

NoCSRF类依赖PHP Session存储有效的token，所以你必须在脚本最开头的位置启动Session（在任何输出之前）：

session_start();

2. 在表单处理前添加CSRF验证 #

在执行数据库插入操作之前，你需要调用NoCSRF::check()来验证提交的token是否有效。如果验证失败，直接阻止后续操作并返回错误。

3. 修正后的完整表单处理代码 #

把你的PHP处理代码修改成这样：

<?php
session_start(); // 必须放在最开头，任何输出之前
require_once('NoCSRF.php'); // 确保正确引入NoCSRF类

$editFormAction = $_SERVER['PHP_SELF'];
if (isset($_SERVER['QUERY_STRING'])) {
    $editFormAction .= "?" . htmlentities($_SERVER['QUERY_STRING']);
}

// 首先验证CSRF token
$csrfValid = false;
try {
    // 这里的第一个参数"csrf_token"要和表单里的hidden字段name一致
    $csrfValid = NoCSRF::check('csrf_token', $_POST, true);
} catch (Exception $e) {
    // 验证失败，输出错误并终止脚本
    die("CSRF验证失败: " . $e->getMessage());
}

// 只有CSRF验证通过后，才处理表单插入
if ($csrfValid && (isset($_POST["MM_insert"])) && ($_POST["MM_insert"] == "form1")) {
    $insertSQL = sprintf("INSERT INTO contact (name, email, topic, `description`, IP, date) VALUES (%s, %s, %s, %s, %s, %s)",
        GetSQLValueString($_POST['name'], "text"),
        GetSQLValueString($_POST['email'], "text"),
        GetSQLValueString($_POST['topic'], "text"),
        GetSQLValueString($_POST['description'], "text"),
        GetSQLValueString($_SERVER['REMOTE_ADDR'], "text"),
        GetSQLValueString(date("Y-m-d H:i:s"), "text"));

    mysql_select_db($database_config, $config);
    $Result1 = mysql_query($insertSQL, $config) or die(mysql_error());

    $insertGoTo = "takk.php";
    if (isset($_SERVER['QUERY_STRING'])) {
        $insertGoTo .= (strpos($insertGoTo, '?')) ? "&" : "?";
        $insertGoTo .= $_SERVER['QUERY_STRING'];
    }
    header(sprintf("Location: %s", $insertGoTo));
    exit; // 跳转后终止脚本
}
?>

4. 额外注意事项 #

• 确保你已经正确生成了$token变量（通常通过NoCSRF::generate('csrf_token')方法生成，并且要在session启动后调用），比如在生成表单的页面里：

  <?php
  session_start();
  require_once('NoCSRF.php');
  $token = NoCSRF::generate('csrf_token');
  ?>
  

• 你的NoCSRF.php代码片段看起来不完整，请确保使用完整的类文件，否则check()方法可能无法正常工作。
• 另外，mysql_*系列函数已经被废弃，建议尽快迁移到mysqli或PDO，提升代码的安全性和兼容性。

内容的提问来源于stack exchange，提问作者IFreeze