PHP 防止遠路表單提交

PHP 防止遠端資料表單提交

Web 的好處是可以分享資訊和服務。壞處也是可以分享資訊和服務，因為有些人做事毫無顧忌。
以表單為例。任何人都能夠訪問一個 Web 網站，並使用瀏覽器上的 File > Save As 建立表單的本機複本。然後，他可以修改 action 參數來指向一個完整 URL（不指向 formHandler.php，而是指向 http://www.yoursite.com/formHandler.php，因為表單在這個網站上），做他希望的任何修改，點擊 Submit，伺服器會把這個表單資料作為合法通訊流接收。
首先可能考慮檢查 $_SERVER['HTTP_REFERER']，從而判斷請求是否來自自己的伺服器，這種方法可以擋住大多數惡意使用者，但是擋不住最高明的駭客。這些人足夠聰明，能夠篡改頭部中的引用者資訊，使表單的遠程副本看起來像是從您的伺服器提交的。
處理遠端資料表單提交更好的方式是，根據一個惟一的字串或時間戳記產生一個令牌，並將這個令牌放在會話變數和表單中。提交表單之後，檢查兩個令牌是否匹配。如果不匹配，就知道有人試圖從表單的遠程副本發送資料。
要建立隨機的令牌，可以使用 PHP 內建的 md5()、uniqid() 和 rand() 函數，如下所示：

?這種技術是有效，這是因為在 PHP 中會話資料無法在伺服器之間遷移。即使有人獲得了您的 PHP 原始碼，將它轉移到自己的伺服器上，並向您的伺服器提交資訊，您的伺服器接收的也只是空的或畸形的會話令牌和原來提供的表單令牌。它們不匹配，遠端資料表單提交就失敗了。

