PHP生成CSRF令牌需用random_bytes()生成加密随机字节并转hex/base64，每个表单独立命名session键（如'csrf_token_user_edit'），验证时用hash_equals()防时序攻击且立即销毁，建议拼接时间戳实现15分钟过期。
PHP里怎么生成CSRF令牌？
直接用 random_bytes() 生成加密安全的随机字节，再转成十六进制或base64字符串，别用 rand() 或 mt_rand() —— 它们不可预测、不抗碰撞，根本不能当CSRF token用。
常见错误是把token存在全局变量或普通session key里，结果多个表单共用一个token，一提交就失效。正确做法是每个表单独立生成、独立校验。
- 生成示例：
$token = bin2hex(random_bytes(32)); - 存入session时加前缀避免冲突：
$_SESSION['csrf_token_edit_profile'] = $token; - 不要直接输出裸token到HTML，要过
htmlspecialchars()再插入<input type="hidden">
表单提交时如何验证CSRF令牌？
验证不是“比对字符串相等”就完事——必须用 hash_equals() 防时序攻击，且验证后立即销毁session中的token（防止重放）。
容易漏掉的点：没检查token是否存在于session中，导致undefined index警告；或者没区分GET/POST场景，把token塞在URL里暴露了。
立即学习“PHP免费学习笔记（深入）”；
- 先确认请求方法是POST：
if ($_SERVER['REQUEST_METHOD'] !== 'POST') { die('Invalid method'); } - 从POST取值：
$submitted = $_POST['csrf_token'] ?? '';，再从session取对应key - 严格比对：
if (!hash_equals($_SESSION['csrf_token_edit_profile'] ?? '', $submitted)) { die('CSRF validation failed'); } - 验证通过后立刻清空：
unset($_SESSION['csrf_token_edit_profile']);
为什么同一个页面多个表单会互相干扰？
因为用了同一个session key存token，比如都叫 $_SESSION['csrf_token']，后生成的覆盖前一个，早打开的表单就必然失败。
解决方式不是“加个时间戳拼接”，而是按功能路径命名token键名，让每个表单有唯一标识。
- 编辑用户页：
$_SESSION['csrf_token_user_edit'] - 删除评论：
$_SESSION['csrf_token_comment_delete_123']（含ID更稳妥） - 前端name属性也要同步：
<input name="csrf_token" value="...">不用改，但PHP端读取和销毁必须用同一key - 如果页面动态加载多个表单（如AJAX），每个都要单独生成+返回token字段，不能复用
CSRF token需要设过期时间吗？
需要，但不是靠session生命周期硬控——用户可能开着页面几小时不动，token却早该失效。建议在生成时写入时间戳，验证时检查是否超时（比如15分钟）。
别把时间戳存单独session字段，容易不同步；直接把时间戳和token拼在一起存，解构时一起读。
- 生成：
$ts = time(); $token = bin2hex(random_bytes(32)); $_SESSION['csrf_token_post'] = $ts . ':' . $token; - 验证时拆分：
[$ts_saved, $token_saved] = explode(':', $_SESSION['csrf_token_post'] ?? ''); if (time() - $ts_saved > 900) { /* 过期 */ } - 注意：
explode()可能出错，得先检查字符串格式，否则直接报warning
最常被忽略的是token生成和验证逻辑没封装成函数，导致不同页面重复写、参数不一致、过期时间硬编码到处散落。真要长期维护，至少抽成两个小函数：generate_csrf_token($key) 和 validate_csrf_token($key)。
