关于表单跨域提交的防范,一些疑问
今天看到书上写的关于防止跨域提交的方法,他是在表单提交页面生成一个隐藏的input,值是存在session里随机数
index.php页面
<?php
session_start();
$token = md5(mt_rand());
$_SESSION['token'] = $token;
?>
<form action="b.php" method="post">
<input type="text" name="foo">
<input type="hidden" name="token" value="<?php echo $token?>">
<input type="submit" value="submit">
</form>
以下是b.php代码
if($_POST['token'] == $_SESSION['token'])
{
# do code
}
我的疑问是这样真的可以防范跨域吗?假如我现在访问index.php 然后右键查看源代码,把token复制下来,在本地新建一个表单页面,地址也提交到b.php,用复制好的token值,不就完成跨域了吗
谢谢几位的耐心解答,月领的一句话提示了我,我又翻阅了一下书上会话控制这节,简单说一下session机制,不同计算机访问服务器上的index.php脚本,会在你本地设置一个值唯一的session_id的cookie文件,同时服务器上也也会存在一份和你本地session_id值相同的数据,里面保存有$_SESSION['token']的值。所以说由于你本地cookie中session_id的唯一性,不同计算机在服务器上的session数据是不一样的。
如果你对这篇内容有疑问,欢迎到本站社区发帖提问 参与讨论,获取更多帮助,或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱,如果其他用户或者作者回复了您的评论,将不能在第一时间通知您!
发布评论
评论(3)
首先,按照你说的方法是跨域不了的。
请注意上面的检验,$_SESSION['token']是什么?
SESSION只对你自己的网页有效,你造吗?
正确的思路是把本地的Cookie(对应着SESSION的信息的)也复制下来,然后发送过去。
然而只用浏览器和手写HTML是没法很简单地完成的。
防止跨域提交只是保证网页不被其它网页的JS攻击而已,不要期待太多。
另外,你要知道网页是对所有人开放的,你的所有可以被访问到的PHP都可能收到各种各样的参数。
黑客攻击、用户滥用、网页BUG……
比如,某个表单需要输入电话号码提交。
用户可能禁用掉JS,然后输入了20位的号码。
黑客可能使用工具,乱发参数试探你的后台代码。
So?
所以你就不写检验电话号码正确性的代码吗?
不能因噎废食啊,骚年。
是的 没错 跨域只是浏览器本身的安全措施 而且是正规浏览器 从这次xcode事件
妈的万一以后有不按规则玩的浏览器来怎么办
要不为什么我拿了session在flider这种调试工具里就可以随便post
不过session(token)就是用户合法身份的标识 拿这些也是要登录或者鉴权的
唯一的可能就是他是个开发者 或者是个机器人。。。
另外token的更主要用途是防止重复提交 或者csrf
我看着真纠结,那个b.php的处理代码处理完一个表单后就销毁会话token让每次提交处理都是新的token不久解决了跨域问题?楼主说的已经很棒了,补充一下