一個重大困惑難題，如何有效防止CSRF攻擊

網上有種方法是使用
$_SERVER['HTTP_REFERER']
但是有文章又指出
referer可以偽造的
例如
header("referer:www.aaa.com")
……
?>
我試了一下，貌似用header發送在控制台台裡看到referer是變化了
但是$_SERVER['HTTP_REFERER']是空的，說明似乎沒問題
那到底這個參數行不行呢？能不能防止呢？

回複討論(解決方案)

CSRF通過偽裝來自受信任使用者的請求來利用受信任的網站

那麼用 $_SERVER['HTTP_REFERER'] 顯然是不可以的，因為這是可偽造的（你也是知道的）
對於表單，你可以放置一個即時發放的隨機串（token）或驗證碼
對於普通頁，你可以通過 ajax 擷取一個通行字（因為 ajax 是不可跨域的，且類比 js 行為技術難度較大）
你也可以通過頁面中後期載入的對象（比片、js 檔案）來傳遞附加的 cookie 變數
被動防禦時，可過濾掉頁面中非已知的串連

$ch = curl_init();$opts = array(CURLOPT_URL    => 'http://your web/test.php',CURLOPT_RETURNTRANSFER => true,CURLOPT_REFERER   => 'http://spider.baidu.com/', //偽造refererCURLOPT_HTTPHEADER   => array("Expect: ",),);curl_setopt_array($ch, $opts);$s = curl_exec($ch);

你在 'http://your web/test.php' 指令碼拿到的refer就是那個spider.baidu.com了
偽造應該是這個意思

你百度 curl類比登陸 很多相關的資料. PHP實戰QQ群: 33918040

OK，我再研究研究~~

