本文解释了 csrf token 在 php 中因逻辑错误导致每次刷新都新增令牌而非复用的问题，并提供正确实现方案，确保每次请求仅使用一个稳定、安全的令牌。
本文解释了 csrf token 在 php 中因逻辑错误导致每次刷新都新增令牌而非复用的问题，并提供正确实现方案，确保每次请求仅使用一个稳定、安全的令牌。
在实现 CSRF 防护时，一个常见误区是将“生成令牌”与“管理令牌生命周期”混淆。你提供的 getToken() 函数每次调用都会生成全新随机令牌并追加进 $_SESSION['tokens'] 数组——无论该会话是否已存在有效令牌。这导致每次页面刷新（即脚本重执行）都新增一条记录，令牌数量线性增长，不仅浪费内存，更严重破坏了 CSRF 验证逻辑：后端无法可靠比对“提交的令牌”与“当前会话唯一合法令牌”。
正确的做法是：每个会话仅维护一个 CSRF Token，首次访问生成，后续复用。以下是优化后的实现：
function getToken() {
// 确保 session 已启动（生产环境需前置调用 session_start()）
if (!isset($_SESSION['csrf_token'])) {
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
return $_SESSION['csrf_token'];
}
// 使用示例
$token = getToken();
echo '<input type="hidden" name="csrf_token" value="' . htmlspecialchars($token) . '">';⚠️ 关键注意事项：
- ✅ 必须在调用 getToken() 前执行 session_start()，否则 $_SESSION 不可用；
- ✅ 表单提交后，应在服务端验证时立即销毁或更新令牌（推荐“一次一用 + 重置”策略），防止重放攻击；
- ❌ 避免使用数组存储多个令牌（如原代码中的 $_SESSION['tokens']），这违背 CSRF Token 的唯一性与时效性原则；
- ? bin2hex(random_bytes(32)) 是安全的，但若需更高兼容性，可改用 random_int() 或 openssl_random_pseudo_bytes()（PHP < 7.0）。
总结：CSRF Token 的核心是“会话级唯一性”与“请求级有效性”。通过将令牌持久化至 $_SESSION['csrf_token'] 并仅在未设置时生成，即可彻底解决刷新累积问题，同时为后续的表单验证与令牌校验奠定可靠基础。
