在与安全表单相同的页面中生成 CSRF 令牌是否安全？

Question

我目前有这两个功能，一个是生成token，一个是检查有效性：

function getToken() {
    if(isset($_SESSION['token'])) {
        return $_SESSION['token']; 
    } else {
        $token = //random key generator goes here;
        $_SESSION['token'] = $token;
        return $token;
    }
}

function validateToken($token) {
    if ($token == getToken()){
        return true;
    } else {
        return false;
    }
}

我的注册表包含这个隐藏的输入：

<input type="hidden" name="token" value="<?php echo getToken(); ?>">

这样安全吗？我在问，因为如果合法用户的会话过期，然后他们在此注册表单中获得 CSRF，并且令牌由恶意站点/iframe 本身生成，因为会话中尚不存在令牌，因此验证就好了？

假设用户因为 cookie 而保持登录状态。

我在这里理解错了吗？像 iframe 这样的远程链接不能在您的后端生成会话吗？

Answer 1

没有。据我所知，您这样做是正确的，因为应在用户进入表单页面后立即生成令牌。然后您将生成它以确保有人（真实用户）确实访问过您的表单，然后您正在为他们设置令牌。

当他们对表单执行任何操作时，您正在检查令牌以查看令牌是否对该用户有效。所以，我猜你做对了。

有一件事，当用户请求/进入表单页面时，生成令牌并将其存储在会话中。如果每次请求到来时都生成它会更好。然后在每次成功提交表单后，从会话中清除选中的令牌。