Quiero implementar algo para evitar los CSRF en mi sistema. Leyendo mucho acá en SOes y otros lados he hecho una prueba piloto con esta pequeña librería, pequeña pero hace lo que se necesita.
Como funciona? He configurado previamente el csrf.php
a 60 segundos (1 Minuto) y la longitud de 64
session_start();
include('csrf.php');
$csrf = new CSRF();
<form action="core.php" method="POST">
<?php echo $csrf->input('my-form');?>
// Mando la hora actual para probarlo
<input type="text" name="date" value="<?php echo $date = date('Y-m-d H:i:s'); ?>">
<input type="submit" value="Submit"/>
</form>
En core
session_start();
include('csrf.php');
$csrf = new CSRF();
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
echo "<pre>";
print_r($_POST);
echo "</pre>";
echo "<pre>";
print_r($_SESSION);
echo "</pre>";
if ($csrf->validate('my-form')) {
echo 'Bien';
}
else {
echo 'Mal';
}
}
Que me devuelve en la vista cuando el token aun esta vivo?
Array
(
[hidden-key] => 87f9e32231916541031568254bd537910374b9bbab8ad36ab640863327623718
[date] => 2023-10-18 18:13:40
)
Array
(
[csrf-lib] => a:2:{i:0;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"e730c35dc08169ce408e22af0666f35911a3ecea37ea0afc4b69305970c2ae50";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697645737;}i:1;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"87f9e32231916541031568254bd537910374b9bbab8ad36ab640863327623718";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697645740;}}
[hidden-key] => a:2:{i:0;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"c6d35ae3f34489fba4cd6bd8638238370e93a3e68bac9745cc1d88dbc9c99aa1";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697639522;}i:1;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"5173a60e729dcc1696d23ddb20652d0bbf1ca8d500619d421a8cab0fddf5e370";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697639524;}}
)
Bien
Y pasados los 60 segundos esto
Array
(
[hidden-key] => 87f9e32231916541031568254bd537910374b9bbab8ad36ab640863327623718
[date] => 2023-10-18 18:13:40
)
Array
(
[csrf-lib] => a:0:{}
[hidden-key] => a:2:{i:0;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"c6d35ae3f34489fba4cd6bd8638238370e93a3e68bac9745cc1d88dbc9c99aa1";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697639522;}i:1;O:9:"CSRF_Hash":3:{s:15:"CSRF_Hashhash";s:64:"5173a60e729dcc1696d23ddb20652d0bbf1ca8d500619d421a8cab0fddf5e370";s:18:"CSRF_Hashcontext";s:7:"my-form";s:17:"CSRF_Hashexpire";i:1697639524;}}
)
Mal
Funciona, hace lo que se debe. Pero...
¿Puedo implementar esto como un Honey Pot o los conceptos y acciones son diferentes? Es decir quiero evitar los CSRF y el Spam.
¿Es bueno guardar los Token en Sesión o debería hacerlo en la Base? Se que los Frameworks lo hacen en la DB pero tardan algo en estar validando los token de cada formulario.
¿Este tipo de Token son los que se ven en las URL de algunas webs?
¿Como implementan ustedes este tipo de tokens? Máxime cuando no trabajan con algún frame.