在索引页面上设置 PHP 会话以进行 XSRF 检查

Question

我遇到了以下关于 XSRF 令牌的问题。

客户端：AngularJS 服务器：PHP

当 index.php 被命中时，PHP 会生成一个 XSRF 令牌并将其保存在会话中。 cookie 设置为相同的值。

AngularJS 读取 cookie 并存储值。

在随后的 POSTS 中，XSRF 令牌作为标头发送，其想法是将存储的会话令牌与发送的标头进行比较。

一切看起来都很好，没有任何问题。

但是：问题是，PHP 无法读取在 index.php 中注册的会话，因为从技术上讲，没有页面重新加载！如果我按 F5 并重新加载所有内容，则会话会很好地读取。

如何在 index.php 上设置 XSRF 会话令牌并使其可用于来自客户端的后续 ajax 请求？我正在拔头发...感谢反馈。

更新

更改会话标识符名称后，突然一切正常！

在 index.php 中：

// Create token and set session
session_start();
$token = hash('sha256', uniqid(mt_rand(), true));
$_SESSION['XSRF']=$token; 

后来，也在index.php中：

/* Give token to Angular client */
<script>
angular.module("app").constant("CSRF_TOKEN", '<?=$_SESSION['XSRF'];?>'); 
</script>

请注意，我没有使用 cookie，而是设置了一个常量，然后可用于 Angular 中的 .run 方法：

在 Angular 中：

angular.module('app').run(['CSRF_TOKEN','$http',function(CSRF_TOKEN,$http) {

   $http.defaults.headers.common['CSRF_TOKEN'] = CSRF_TOKEN;

对服务器的所有请求都被路由到一个通用的 php 文件。该文件检查是否设置了标头，并比较了两个标记：

// Only POST requests are checked (I don't use PUT/DELETE)
if($_SERVER['REQUEST_METHOD']=="POST"){
   session_start();
   $headerToken = $_SERVER['HTTP_CSRF_TOKEN'];
   $sessionToken = $_SESSION['XSRF'];
   if($headerToken!=$sessionToken){
      header('HTTP/1.0 401 Unauthorized');
      exit;
   }
}

Answer 1

这就是我在我的 PHP/AngularJS 项目中所做的：

index.php

session_start();
if (!isset($_SESSION['XSRF-TOKEN'])) {
    $uniqueValues = md5($_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT']); //add more/less/any "unique" values, see comments
    $_SESSION['XSRF-TOKEN'] = sha1(uniqid(microtime() . $uniqueValues, true));
    setcookie('XSRF-TOKEN', $_SESSION['XSRF-TOKEN']);
}

AngularJS 调用的任何脚本 $http:

（AngluarJS 使用 cookie XSRF-TOKEN 的值，并将其作为 X-XSRF-TOKEN 自定义标头在每个请求中发送，因此我们需要将此值与会话中存储的值进行比较。）

function verifyXSRF() {

    /*
    $headers = apache_request_headers();
    $headerToken = "";
    foreach ($headers as $header => $value) {
        if ($header == "X-XSRF-TOKEN") {
            $headerToken = $value;
            break;          
        }
    }
    */

    //more efficient, see comments
    $headerToken = $_SERVER['HTTP_X_XSRF_TOKEN'];

    if ($headerToken != $_SESSION['XSRF-TOKEN']) return false;
    return true;
}

session_start();
if (!verifyXSRF()) die("XSRF error");

欢迎反馈，因为我不知道这是否足够 XSRF 保护。