什么是使用$ _POST变量和令牌的含义？

Question

我读了一些PHP PDO数据消毒，来到翻过这篇文章：

PDO & Sanitize Date/Remove HTML

我相信，我的代码使用PDOStatement对象bindParam来防止SQL注入，但是我读这条评论（转述）

“使用$ _ POST代币将有助于避免CSRF”

，我很好奇，什么是象征性的意思，我如何实现它？

Answer 1

令牌可能是一些散列，您将它存储在会话中，并通过表单发送。 前验证表单数据你是否：

1. 令牌已经sended和
2. 令牌存储在会话

一个简单实现：

---

<?php 
    session_start(); 
    if(!isset($_SESSION['token'])) 
    { 
    $_SESSION['token']=uniqid(); 
    } 
?> 

<form method="post"> 
    <input name="token" type="hidden" value="<?php echo $_SESSION['token'];?>"> 
    <input name="something" value="some data to send"> 
    <input type="submit"> 
</form> 

<?php 
    if(isset($_POST['something'])) 
    { 
    if(!isset($_POST['token']) || $_POST['token']!==$_SESSION['token']) 
    { 
     echo 'missing a valid token'; 
    } 
    else 
    { 
     echo 'got a valid token, I will use the data'; 
    } 
    } 
?> 

---