PHPセッション変数が残っていません

Question

簡単な設定：ページが読み込まれると、ランダムセッショントークンが生成され、$ _SESSION ["token"]に保存されます。フォームには、非表示の入力フィールドにこのトークンが含まれています。この時点まで問題はありません。非常に同じページ（action = ""）にフォームを送信し、$ _SESSION ["token"]がPOST経由で送信されたトークンと等しいかどうかを確認しようとします。それに応じて変数が変更され、ページが再びロードされる前に古い$ _SESSION ["token"]を置き換える新しいセッショントークンが生成されます。

問題はです：セッションが呼び出された瞬間に$ _SESSION ["token"]が再び変更されます（SESSIONとPOSTトークンの両方を比較する前に）。したがって、両方のトークンは決して一致しません。そして私はそれがなぜ変わるのか理解できません。これは、ページが読み込まれる前に、不明な起点のランダムなトークンをもう一度置き換えることで、これも実行されるため、私が書いたコード行ではありません。

INDEX：

<?php 
session_start(); 
date_default_timezone_set("Europe/Berlin"); 

$BASE_URL = "http://" . $_SERVER['SERVER_NAME'] . $_SERVER['REQUEST_URI']; 

$form_valid = false; 


if (isset($_POST["token"]) && isset($_SESSION["token"])) { 
    if ($_POST["token"] == $_SESSION["token"]) { 
     $form_valid = true; 
    } 
} 

//Set (new) session token 
$token = bin2hex(random_bytes(10)); 
$_SESSION["token"] = $token; 

//Load actual page 
include ("/backend/admin.php"); 
?> 

含まれるページ：

<?php echo "FORM VALID:"; var_dump($form_valid); ?> 
<?php if (!isset($_SESSION["admin"]) || !$_SESSION["admin"]) { ?> 

    <form id="verify" method="POST" action=""> 
     <label>Password</label> 
     <input type="password" name="access"> 
     <input type="hidden" name="token" value="<?= $_SESSION['token'] ?>"> 
     <input type="submit" value="Senden"> 
    </form> 

<?php } else { ?> 

    ... 

<?php } ?> 

任意のヘルプは高く評価されます。ありがとうございました。

Answer 1

問題は、あなたのロジックであった、セッショントークンは関係なく、フォームが送信されるたびに更新されていない、

$token = bin2hex(random_bytes(10)); 
$_SESSION["token"] = $token 

オーケー

<?php 
    session_start(); 
    date_default_timezone_set("Europe/Berlin"); 

    $BASE_URL = "http://" . $_SERVER['SERVER_NAME'] . $_SERVER['REQUEST_URI']; 

    $form_valid = false; 


if(empty($_SESSION["token"])){ 
$_SESSION["token"]= bin2hex(random_bytes(10)); 
} 

    if (isset($_POST["token"]) && isset($_SESSION["token"])) 
{ 
     if ($_POST["token"] == $_SESSION["token"]) { 
      $form_valid = true; 
      unset($_SESSION["token"]); 
     } 
    } 





    include ("/backend/admin.php"); 
    ?>