FuelPHPのソースコード(Security.php)を眺めていて気付いたこと。
CSRF対策で所謂PHPのセッション機構そのものは利用しておらず、サーバ側でtokenを保持するということはしていない。
基本、送信されたCOOKIE値とパラメータ値の比較をもってCSRF対策としている。
これは「COOKIEは外部ドメインサイトからの読み書きが不可である」という前提に立っている。
下記ソースコードは「COOKIE値とPOST値の比較」でCSRF対策のチェックとするサンプル。
フォームとajaxでの利用を想定としている。
なお、任意の値を送信COOKIEとPOST値に設定すれば、Csrf::check自体はtrueになるので、実際にはセッションによる認証機構を前提とする。
（そもそもセッションによる認証を必要としなければ、CSRF対策自体不要）
csrf.php
<?php
class Csrf {
static $key = '_csrf';
static $token = '';
/**
* tokenを作成し、cookieに設定
*/
public static function create() {
self::$token = self::gen_token();
setcookie(self::$key, self::$token);
}
/**
* token生成
*/
public static function gen_token() {
$token = bin2hex(openssl_random_pseudo_bytes(16));
// $token = sprintf('%04x%04x%04x%04x%04x%04x%04x%04x',
// mt_rand( 0, 0xffff ), mt_rand( 0, 0xffff ),
// mt_rand( 0, 0xffff ),
// mt_rand( 0, 0x0fff ) | 0x4000,
// mt_rand( 0, 0x3fff ) | 0x8000,
// mt_rand( 0, 0xffff ), mt_rand( 0, 0xffff ), mt_rand( 0, 0xffff )
// );
// FuelPHPのSecurity::generate_tokenより。salt を利用する。
// $token_base = time() . uniqid() . \Config::get('security.token_salt', '') . mt_rand(0, mt_getrandmax());
// if (function_exists('hash_algos') and in_array('sha512', hash_algos()))
// {
// $token = hash('sha512', $token_base);
// }
// else
// {
// $token = md5($token_base);
// }
// PHP7
// $token = bin2hex(random_bytes(16));
return $token;
}
/**
* token取得
*/
public static function fetch() {
return self::$token;
}
/**
* token と cookie値を比較
*/
public static function check() {
$val = !empty($_COOKIE[self::$key]) ? $_COOKIE[self::$key] : '';
if (empty($val)) {
return false;
}
self::create();
$postval = !empty($_POST[self::$key]) ? $_POST[self::$key] : '';
if ($val === $postval) {
return true;
}
return false;
}
}
// 登録処理などはこのへんで行う。実際には認証情報取得が前提。
if (!empty($_POST['btn_reg'])) {
if (Csrf::check()) {
echo 'send ok.';
} else {
echo 'send ng.';
}
exit();
}
Csrf::create();
$fetch = Csrf::fetch();
// viewやtemplateを利用する場合、このあたりからテンプレート側の処理になる
echo <<<_EOD_
<html>
<script src="//ajax.googleapis.com/ajax/libs/jquery/2.1.4/jquery.min.js"></script>
<h1>フォーム</h1>
<form method="POST">
<input type="hidden" name="_csrf" value="{$fetch}" />
<input type="submit" name="btn_reg" value="PUSH" />
</form>
<h1>ajax</h1>
<a href="#" id="push">ajax</a>
<script>
// 実際には外部JavaScriptに記述するような部分
$(function(){
// cookie読み込み。fuelphpの Security::js_fetch_token 辺りを参考に。
var csrf_token = function() {
if (document.cookie.length > 0)
{
var c_name = '_csrf',
c_start = document.cookie.indexOf(c_name + "="),
c_end;
if (c_start != -1)
{
c_start = c_start + c_name.length + 1;
c_end = document.cookie.indexOf(";" , c_start);
if (c_end == -1)
{
c_end=document.cookie.length;
}
return unescape(document.cookie.substring(c_start, c_end));
}
}
return "";
}
// cookieからtoken取得
$('#push').on('click',function(e){
$.ajax({
url : 'csrf.php',
type: 'POST',
data: { _csrf : csrf_token(), btn_reg : 'PUSH', },
}).then(
function(msg){ alert(msg); }
);
return false;
});
});
</script>
</html>
_EOD_;