表格安全。確保它不是來自外部源

Question

我有一個簡單的表單，並且想要驗證發佈的值是否來自該表單的目錄，而不是來自外部源。

<form action="<?php echo $_SERVER['REQUEST_URI']; ?>" method="POST"> 
    <input type="text" name="post" id="post" /> 
    <input type="submit" name="submit" id="submit" /> 
</form>  

我是否需要在會話中存儲某些內容？一個簡單的例子會非常有幫助。謝謝。

Answer 1

在創建表格，你可以使用：

<?php 
    session_start(); // don't forget that you need to call before output (place first, or use ob_start() 
    $_SESSION['formhash'] = md5(date('Y-m-d H:i:s').'2fiaSFI#T8ahugi83okkj'); 
?> 
<form action="<?php echo $_SERVER['REQUEST_URI']; ?>" method="POST"> 
<input type="text" name="post" id="post" /> 
<input type="hidden" name="hash" id="hash" value="<?php echo $_SESSION['formhash']; ?>" /> 
<input type="submit" name="submit" id="submit" /> 
</form> 

你需要檢查時，有人張貼的職位要求有正確的哈希值。你可以使用：

<?php 
    session_start(); // don't forget that you need to call before output (place first, or use ob_start() 
    if (isset($_SESSION['formhash']) && isset($_POST['hash']) && $_SESSION['formhash']==$_POST['hash']) { 
     // treat $_POST 
    } 
?>