当前位置: 首页> 最新文章列表> PHP Session 跨域攻击防护技巧：Cookie设置、来源验证与Token机制

PHP Session 跨域攻击防护技巧：Cookie设置、来源验证与Token机制

M66 2025-06-22

PHP Session 跨域攻击的防范措施

在Web应用中，会话（Session）是追踪用户状态和存储信息的重要手段。但由于Web环境的开放性，会话数据容易遭受跨域攻击。本文将分享PHP中常见且实用的防护技巧，并附具体代码示例。

1. 设置Cookie安全属性

Session ID通常保存在Cookie中，为防止跨域攻击，可通过调整Cookie属性增强安全性。主要涉及：

  • HttpOnly：阻止JavaScript访问Cookie，避免通过脚本窃取会话ID。
  • Secure：仅在HTTPS连接上传输Cookie，防止中间人攻击。

示例代码：

session_start();
<p>// 获取当前Cookie参数<br>
$cookieParams = session_get_cookie_params();</p>
<p>// 设置安全的Cookie属性<br>
session_set_cookie_params(<br>
$cookieParams["lifetime"],<br>
$cookieParams["path"],<br>
$cookieParams["domain"],<br>
true,  // Secure<br>
true   // HttpOnly<br>
);</p>
<p>$_SESSION["username"] = "user123";</p>
<p>session_write_close();<br>

2. 验证请求来源域名

通过检查请求的来源域名，确保Session操作只发生在授权域名下，降低跨域攻击风险。可利用 $_SERVER['HTTP_REFERER'] 实现：

if (isset($urlParts['host']) && $urlParts['host'] === $allowedDomain) {
    return true;
} else {
    return false;
}

}

// 使用示例
if (validateReferer("example.com")) {
// 执行会话相关操作
} else {
// 非法来源，拒绝访问或提示错误
}

3. 生成并验证Token防止CSRF

为每个会话生成唯一Token，客户端请求时携带，服务器端验证Token一致性，防止伪造请求：

// 生成Token
function generateToken() {
    $token = bin2hex(random_bytes(32));
    $_SESSION["csrf_token"] = $token;
    return $token;
}
<p>// 验证Token<br>
function validateToken($token) {<br>
return isset($_SESSION["csrf_token"]) && $_SESSION["csrf_token"] === $token;<br>
}</p>
<p>// 生成Token并输出到表单中<br>
$token = generateToken();</p>
<p>echo '<form method="post">';<br>
echo '<input type="hidden" name="csrf_token" value="' . $token . '">';<br>
echo '<input type="submit" value="Submit">';<br>
echo '</form>';</p>
<p>// 在请求处理处验证<br>
if (isset($_POST["csrf_token"]) && validateToken($_POST["csrf_token"])) {<br>
// Token有效，执行操作<br>
} else {<br>
// Token无效，拒绝操作<br>
}<br>

总结

通过合理设置Cookie属性、验证请求来源域以及采用Token机制，可以有效防护PHP Session的跨域攻击风险。建议在实际开发中结合具体业务场景，持续关注安全漏洞并及时更新策略，确保用户数据和隐私安全。

相关内容