COOKIEによるCSRF対策メモ #PHP

FuelPHPのソースコード(Security.php)を眺めていて気付いたこと。
CSRF対策で所謂PHPのセッション機構そのものは利用しておらず、サーバ側でtokenを保持するということはしていない。
基本、送信されたCOOKIE値とパラメータ値の比較をもってCSRF対策としている。
これは「COOKIEは外部ドメインサイトからの読み書きが不可である」という前提に立っている。

下記ソースコードは「COOKIE値とPOST値の比較」でCSRF対策のチェックとするサンプル。
フォームとajaxでの利用を想定としている。

なお、任意の値を送信COOKIEとPOST値に設定すれば、Csrf::check自体はtrueになるので、実際にはセッションによる認証機構を前提とする。
（そもそもセッションによる認証を必要としなければ、CSRF対策自体不要）

csrf.php

<?php
class Csrf {

    static $key  = '_csrf';
    static $token = '';

    /**
     * tokenを作成し、cookieに設定
     */
    public static function create() {

        self::$token = self::gen_token();


        setcookie(self::$key, self::$token);
    }

    /**
     * token生成
     */
    public static function gen_token() {

        $token = bin2hex(openssl_random_pseudo_bytes(16));

//      $token = sprintf('%04x%04x%04x%04x%04x%04x%04x%04x',
//          mt_rand( 0, 0xffff ), mt_rand( 0, 0xffff ),
//          mt_rand( 0, 0xffff ),
//          mt_rand( 0, 0x0fff ) | 0x4000,
//          mt_rand( 0, 0x3fff ) | 0x8000,
//          mt_rand( 0, 0xffff ), mt_rand( 0, 0xffff ), mt_rand( 0, 0xffff )
//       );


// FuelPHPのSecurity::generate_tokenより。salt を利用する。
//      $token_base = time() . uniqid() . \Config::get('security.token_salt', '') . mt_rand(0, mt_getrandmax());
//      if (function_exists('hash_algos') and in_array('sha512', hash_algos()))
//      {
//          $token = hash('sha512', $token_base);
//      }
//      else
//      {
//          $token = md5($token_base);
//      }

//      PHP7
//      $token = bin2hex(random_bytes(16));

        return $token;
    }

    /**
     * token取得
     */
    public static function fetch() {
        return self::$token;
    }

    /**
     * token と cookie値を比較
     */
    public static function check() {
        $val = !empty($_COOKIE[self::$key]) ? $_COOKIE[self::$key] : '';
        if (empty($val)) {
            return false;
        }

        self::create();

        $postval = !empty($_POST[self::$key]) ? $_POST[self::$key] : '';
        if ($val === $postval) {
            return true;
        }

        return false;
    }
}

// 登録処理などはこのへんで行う。実際には認証情報取得が前提。
if (!empty($_POST['btn_reg'])) {
    if (Csrf::check()) {
        echo 'send ok.';
    } else {
        echo 'send ng.';
    }
    exit();
}

Csrf::create();

$fetch = Csrf::fetch();

// viewやtemplateを利用する場合、このあたりからテンプレート側の処理になる

echo <<<_EOD_
<html>
<script src="//ajax.googleapis.com/ajax/libs/jquery/2.1.4/jquery.min.js"></script>

<h1>フォーム</h1>
<form method="POST">
<input type="hidden" name="_csrf" value="{$fetch}" />
<input type="submit" name="btn_reg" value="PUSH" />
</form>

<h1>ajax</h1>
<a href="#" id="push">ajax</a>

<script>
// 実際には外部JavaScriptに記述するような部分
$(function(){
    // cookie読み込み。fuelphpの Security::js_fetch_token 辺りを参考に。
    var csrf_token = function() {

        if (document.cookie.length > 0)
        {
            var c_name = '_csrf',
            c_start = document.cookie.indexOf(c_name + "="),
                c_end;
            if (c_start != -1)
            {
                c_start = c_start + c_name.length + 1;
                c_end = document.cookie.indexOf(";" , c_start);
                if (c_end == -1)
                {
                    c_end=document.cookie.length;
                }
                return unescape(document.cookie.substring(c_start, c_end));
            }
        }
        return "";
    }

    // cookieからtoken取得
    $('#push').on('click',function(e){
        $.ajax({
            url : 'csrf.php',
            type: 'POST',
            data: { _csrf : csrf_token(), btn_reg : 'PUSH', },
        }).then(
            function(msg){ alert(msg); }
        );
        return false;
    });
});
</script>

</html>
_EOD_;