CSRF処理時のトークンの検証

Question

このトピックに関する質問がありましたが、解決策が見つからないようです。私のインデックスページで、一番上に私は単に

<?php 
session_start(); 

function generate_secure_token($length = 16) { 
    return bin2hex(openssl_random_pseudo_bytes($length)); 
} 

$_SESSION['token'] = generate_secure_token(); 
$token = $_SESSION['token']; 

?> 

やっている私はその後、私のフォーム内の隠しフィールドとして$tokenを設定します。私の質問は、フォームの処理に関するものです。現時点で私は持っています

if (empty($_POST[ 'csrf_token' ])) 
{ 
    $errors['token'] = 'Something went wrong'; 
} 

したがって、単にトークンが存在することを確認します。これで十分ですか？私はトークンを作り直してセッショントークンと比較する他の例を見てきましたが、これが必要かどうかわかりません。

これを正しく検証する方法についてのアドバイスはありがたいです。

おかげ

Answer 1

あなたは、導入されたトークンが有効であることを確認するためにあなたのセッショントークンに与えられたトークンを比較する必要があります。

if (empty($_POST[ 'csrf_token' ]) || 
    $_POST[ 'csrf_token' ] != $_SESSION['token']) 
{ 
    $errors['token'] = 'Something went wrong'; 
}