PHP中CSRF漏洞修复的核心是用会话绑定的一次性令牌（CSRF Token）验证请求合法性，需生成密码学安全随机令牌存入session、表单中隐藏嵌入并转义、服务端严格校验一致性且成功后刷新，再叠加SameSite、Secure/HttpOnly Cookie等防护。

PHP中CSRF漏洞修复的核心是**用会话绑定的一次性令牌（CSRF Token）验证请求合法性**，不能只靠Referer检查或静态随机数。关键在于生成、分发、校验三个环节都必须正确实现，并与用户会话强关联。

生成并存储安全令牌

每次用户访问含表单的页面时，服务器应生成一个密码学安全的随机字符串，并存入当前session：

• 使用bin2hex(random_bytes(32))或secrets.token_urlsafe(32)（PHP 7.0+推荐random_bytes）
• 绝对避免md5(time().rand())或mt_rand()等可预测方式
• 确保session_start()已调用，且session未被覆盖或失效

在表单中正确嵌入令牌

令牌必须作为隐藏字段，放在<form></form>标签内部、所有其他输入字段之前：

• 写法示例：<input type="hidden" name="csrf_token" value="<?= htmlspecialchars($_SESSION['csrf_token'], ENT_QUOTES, 'UTF-8') ?>">
• 输出前必须用htmlspecialchars转义，防止XSS污染token值
• AJAX请求需把token加在请求头（如X-CSRF-Token）或请求体中，不可拼在URL里

服务端严格校验并及时刷新

处理POST/PUT/DELETE等敏感请求时，必须校验token一致性，并在成功后刷新令牌（防重放）：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• 检查$_POST['csrf_token']是否存在、非空、且与$_SESSION['csrf_token']完全相等
• 校验失败立即终止请求，返回403或跳转错误页，不执行任何业务逻辑
• 验证通过后建议调用$_SESSION['csrf_token'] = bin2hex(random_bytes(32))更新令牌
• 用户登出时，务必清空$_SESSION['csrf_token']，避免旧token复用

叠加基础防护增强健壮性

单一机制存在绕过风险，建议配合以下措施：

立即学习“PHP免费学习笔记（深入）”；

• 设置Cookie的SameSite=Lax（或Strict），阻止跨站携带会话凭证
• Cookie加上Secure和HttpOnly标志，降低XSS窃取风险
• 对高危操作（如改密、转账）增加二次验证（短信/邮箱验证码）
• 敏感接口可额外校验Origin或白名单Referer，但不能单独依赖