En mi página tengo muchas ejecuciones y algunas son de tipo formularios en los que sé que se necesita un token de CSRF, pero no estoy seguro de que si tengo que generarlo todas las veces que el formulario sea enviado ó puedo generar uno de la sesión y utilizarlo en todos los procesos que el usuario registrado realice.
Y qué pasa cuando creo un simple hiperenlace tipo: www.ejemplo.com/index.php?id=40
y al pulsarlo redirigo a una página donde el usuario tiene un $_GET['id']
, también necesito utilizar el CSRF token? En caso afirmativo, también vale el de la sesión?
Para generarlo dentro de la sesión el método más seguro que he encontrado es el siguiente:
session_start();
if (empty($_SESSION['token'])) {
$_SESSION['token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['token'];
Pero si no se utiliza el token de sesión, cómo iniciarlo? ¿O solamente existen los CRFS de sesión? Digo porque en Laravel he visto que para cada acción de formulario realizada se utilizaba un token diferente, pero en PHP a pelo no he visto diferentes tokens que a los de la sesión. Gracias de antemano!