はじめに

Laravelなどを使わず、シンプルなPHPでフォームを作る場合、csrf対策を自力で行う必要があります。

まあそんな機会は多くないかもしれませんが、覚えておいて損はない、、！
ということでやっていきましょう。

入力画面、確認画面、結果画面、3画面の一般的なフォームで実装していきます。

入力画面

ランダムな文字列で生成したトークンを、セッションに格納します。
すでにセッションに存在する場合は、そちらを使います。

entry.php

<?php
session_start();  //セッション開始

  $token = '';
  if ( isset( $_SESSION[ 'token' ] ) || !empty( $_SESSION[ 'token' ] ) ) {
    $token = $_SESSION['token']; //セッションにすでにあるとき
  } else {
    $token = bin2hex(random_bytes(32)); //トークンを生成
    $_SESSION['token'] = $token;   //セッションにトークンを格納
  }

type=“hidden”で隠したinputに、トークンを置き、他の入力内容とともにsubmitします。

entry.php

<form action="./confirm.php" method="POST">
   <input type="hidden" name="token" value="<?php echo $token; ?>"> //隠しフィールドにトークンを設置し、フォーム送信時に一緒に送る
   <input type="submit" value="確認">
</form>

確認画面

POSTで送られてきたトークンがセッションにあるトークンと一致するかをチェックしています。
一致しない場合は、入力画面に戻す。
一致する場合は、またinputに設置して送信します。

confirm.php

<?php
session_start();  //セッション開始

//トークンチェック
if (isset($_POST['token']) && isset($_SESSION['token'])) {
    $token = $_POST['token'];
    if ($token != $_SESSION['token']) { //トークンが一致しない場合は処理を中止
        header("Location: entry.php");
        echo ('アクセスが中断されました。');
        exit();
        }
    } else {  //トークンが存在しない場合は処理を中止する
        header("Location: entry.php");
        echo ('不正なアクセスです');
        exit();
    }

confirm.php

<form action='./complete.php' method='POST'>
        <input type='hidden' name='token' value='<?php $token; ?>'>  
        <input type="submit" value="送信する">
</form>

結果画面

結果画面でも、確認画面と同じようにチェックすればOKです。

complete.php

<?php
session_start();  //セッション開始

//トークンチェック
if (isset($_POST['token']) && isset($_SESSION['token'])) {
  $token = $_POST['token'];
  if ($token != $_SESSION['token']) { //トークンが一致しない場合は処理を中止
      header("Location: entry.php");
      echo ('アクセスが中断されました。');
      exit();
      }
  } else {  //トークンが存在しない場合は処理を中止する
      header("Location: entry.php");
      echo ('不正なアクセスです');
      exit();
  }

最後に処理が完了したら、

session_destroy();

で、セッションを破棄することをお忘れなきよう！

以上、これにて完成となります。

おわりに

いかがだったでしょうか。
Laravelだと、@csrfと書くだけですが、Laravelが使えない場合でも、意外と簡単に作ることができます。

ぜひ参考にしてみてください！