php - Zend Framework 2 - CSRF トークン サーバー側の検証

Question

次の問題が頭に浮かびました: すべての標準フォームで使用したい汎用フィールドセットを作成しました。と が含まれていCSRF-TokenますSubmit-Button。

クライアント側でうまく機能します。しかし、私が疑問に思うのは、これを使用するZend\Form\Element\Csrfと、サーバー側でこのトークンが問題ないことを証明するロジックがどこにあるのかということです。それとも、これZendはバックグラウンドのどこかで処理されますか?

ありがとう！

Answer 1

私はこのトークンを使用していますが、同じ質問がありました。短くて甘い答えは、バックグラウンドで処理されるということです。

トークンが正しくない場合、または有効期限が切れている場合は、エラー メッセージが返されます。フォームが適切な場所から作成されたものではないと述べている可能性が最も高いです。

Answer 2

プロキシを使用してテストできます。burpsuite はその 1 つです。フォームを送信し、プロキシでインターセプトし、トークンを変更してサーバーに渡します。それは拒否されるべきです。

または、Zend デバッガーなどを使用してトレースすることもできます。いずれにせよ、それが正しく処理されていることを自信を持って知っておく必要があります。