PHP防御CSRF需生成唯一强随机令牌并绑定会话：渲染前用bin2hex(random_bytes(32))生成并存入$_SESSION；前端用htmlspecialchars输出到隐藏字段；提交时用hash_equals校验后立即销毁令牌。
PHP 添加令牌防御 CSRF 攻击，关键在于生成唯一、不可预测的令牌，并确保它与用户会话强绑定、单次有效、安全比对。不能靠时间戳或 rand() 拼接，也不能在 HTML 里动态生成——否则前后端令牌必然不一致。
生成并存储令牌（服务端逻辑层）
必须在渲染表单前完成生成和存入 session，且只执行一次：
- 调用 session_start()（确保在任何输出之前）
- 检查 $_SESSION['csrf_token'] 是否为空，为空才生成
- 使用 bin2hex(random_bytes(32)) 生成高强度随机字符串（PHP 7.0+，推荐 PHP 8.4 的 CSPRNG）
- 避免在 HTML input 标签内联 PHP 代码生成令牌，否则每次 echo 都会覆盖 session 值
嵌入表单隐藏字段（前端安全输出）
把已生成好的令牌作为隐藏字段写入 form，注意转义防 XSS：
- 使用 htmlspecialchars() 输出到 value 属性中
- 字段 name 建议统一为 csrf_token 或 token，便于后端识别
- 不要通过 URL 参数传递令牌（易被 Referer、日志、代理泄露）
- 敏感操作仅允许 POST/PUT/DELETE，禁用 GET 执行状态变更
提交时严格验证（后端校验逻辑）
收到 POST 请求后，立即执行三步验证：
立即学习“PHP免费学习笔记（深入）”；
- 确认请求方法为 POST，且 $_POST['csrf_token'] 存在且非空
- 用 hash_equals() 安全比对 session 中的值与提交值（防止时序攻击）
- 验证通过后，立刻 unset($_SESSION['csrf_token']) 或生成新令牌（防重复提交）
- 若 session 已失效或未启动，直接拒绝，不继续处理
增强防护的实用补充
单靠令牌还不够，建议叠加基础措施提升纵深防御能力：
- 设置 SameSite=Lax Cookie 属性：调用 session_set_cookie_params(['samesite' => 'Lax']) 再 session_start()
- 对 AJAX 请求，在请求头添加 X-CSRF-Token，后端从 $_SERVER['HTTP_X_CSRF_TOKEN'] 读取校验
- 可选绑定用户标识（如 sha1($_SESSION['user_id'] . $_SERVER['REMOTE_ADDR'])）增加伪造难度
- 登出或 session 销毁时，务必清空 $_SESSION['csrf_token']
