1

En mi página tengo muchas ejecuciones y algunas son de tipo formularios en los que sé que se necesita un token de CSRF, pero no estoy seguro de que si tengo que generarlo todas las veces que el formulario sea enviado ó puedo generar uno de la sesión y utilizarlo en todos los procesos que el usuario registrado realice.

Y qué pasa cuando creo un simple hiperenlace tipo: www.ejemplo.com/index.php?id=40 y al pulsarlo redirigo a una página donde el usuario tiene un $_GET['id'], también necesito utilizar el CSRF token? En caso afirmativo, también vale el de la sesión?

Para generarlo dentro de la sesión el método más seguro que he encontrado es el siguiente:

session_start();
if (empty($_SESSION['token'])) {
    $_SESSION['token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['token'];

Pero si no se utiliza el token de sesión, cómo iniciarlo? ¿O solamente existen los CRFS de sesión? Digo porque en Laravel he visto que para cada acción de formulario realizada se utilizaba un token diferente, pero en PHP a pelo no he visto diferentes tokens que a los de la sesión. Gracias de antemano!

1 respuesta 1

5

Hay que añadirlo en todos los formularios, con un token diferente cada vez; de lo contrario no tiene sentido.

No almacenes una única variable $_SESSION['token'] por session, sino una variable $_SESSION['token_'.$token_string] por cada formulario servido, cada una con el valor igual al timestamp de creación.

$token_string = cualquier_forma_de_generar_el_token();
$_SESSION['token_'.$token_string] = time();

Cuando el usuario envíe el formulario al servidor, comprueba que la variable token_<variable 'csrf' de $_POST> existe en la sesión. Si no existe o han pasado más de x minutos (cualquier tiempo que consideres óptimo para tu aplicación), devuelve error.

$max_minutos_csrf = 60;
$token_string = limpia_pule_y_da_esplendor($_POST['csrf']);
if ( !isset($_SESSION['token_'.$token_string] ||
     $_SESSION['token_'.$token_string] < time() - $max_minutos_csrf * 60 * 1000 ) {
    header('HTTP/1.0 400 Bad Request');
    exit('Error de CSRF.');
}

Te recomiendo que no intentes reinventar la rueda y utilices alguna librería:

Hay muchas más. Google es tu amigo :)

En respuesta a tu comentario sobre cómo añadir el campo:

<input type="hidden" name="csrf" value="<?php echo htmlentities($string_de_token); ?>" />
8
  • Gracias por tu respuesta !
    – Lukas
    Commented el 3 abr. 2017 a las 15:56
  • como poner en el <input type="hidden" value="<?php echo $string_de_token"; ?>/> ?
    – Lukas
    Commented el 3 abr. 2017 a las 16:31
  • Me devuelve Undefined index: token_1491237675
    – Lukas
    Commented el 3 abr. 2017 a las 16:43
  • 1
    Tendrás que debuguear. Asegúrate de iniciar la sesión con session_start(), vuelca el contenido de $_SESSION, etc... Pero, en serio, utiliza una librería. Commented el 3 abr. 2017 a las 16:52
  • Yo no utilizo framework, lo hago todo a pelo... Puedo utilizar esas librerias sin utilizar framework ? @jotaelesalinas He intentado instalar una libreria pero carece de documentacion, nose como utilizarlo, me da errores y errores y luego para hacer el deployment mi servidor me dara mas errores si quiero utilizar el composer ahi.... estoy perdido
    – Lukas
    Commented el 4 abr. 2017 a las 12:52

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.