私が取り組んでいるPHPプロジェクトで、アンチXSRFメカニズムを実装したいと思います。ランダムトークンを生成し、それをセッションに保存し$_SESSION['token']ます。フォームを送信するときに、セッショントークンを非表示フィールドに含めて、かどうかを確認しtransmitted token == stored tokenます。
私の質問は、このトークンをCookieに保存すると、セキュリティにどのような影響がありますか？
XSSたとえば、どちらのソリューションも悪用可能だと思いますが、どちらのストレージがトークンに最適かわかりません。
助けてくれてありがとう。
通常の手順に従ってトークンを生成する場合 ( sha1( $username.$private_per_session_passphrase).
考慮すべき主なことは、受信したトークンを自分のもの (Cookie/セッション) と一致させるまで、POST は成功しないということです。つまり、ページ要求は自己完結型であってはなりません。
これらは興味深いかもしれません：
また、この論文では CSRF + XSS 攻撃について説明しています:
https://www.htbridge.com/publications/xss_csrf_practical_exploitation_of_post_authentication_vulnerabilities_in_web_applications.html