bymas.ru | CSRF

KATSTAT.RU-ТОП РЕЙТИНГ САЙТОВ С ОТДАЧЕЙ
Уникальная онлайн игра! ЗАЙДИ И ОЦЕНИ!
www.Add.Az WEB MASTER PLATFORMA, FORUM
Пиратская ферма, заходи, новичок
Проверенные способы заработка
Торговая площадка 1
WorldByte - Наш хостинг - партнер

Топ дня:

Sovet [!]

Тема закрыта by

TJersy [!]
Причина: В общем, ответ найден. Позже скину метод решения проблемы

CreepMatis (10.07.2015 в 22:00)
TJersy, Т.е. так:

 $token = md5(uniqid(time()));

В форме делаешь скрытое поле token со значение $token. После записываешь в сессию, или как там) Проверяешь:

if($token != $_POST['token']){

exit;

}

Это я знаю :) Я о другом.

В УИИ пример защиты от CSRF также в ларавельке.

А нельзя в шапке сайта генерировать хэш и подставлять его в нужную форму?
Думаю, так практичнее.

TJersy, Тоже можно)

CreepMatis (10.07.2015 в 22:07)
TJersy, Тоже можно)

На тостере написано во как:

Токен достаточно иметь один на сессию. При несовпадении токена надо показать сообщение «Произошла ошибка. Пожалуйста, проверьте введенные данные, и отправьте форму еще раз».

Естественно, сообщение надо показать вместе с формой с заполненными данными, а не на пустой стрнаице.

GET-формы, не вносящие изменений в базу данных, вроде формы поиска, не надо защищать.
Ответ написан более года назад

Онлайн: 4