4

以下是取自 Facebook 的认证页面的示例。将数据添加到会话然后使用 javascript 重定向到 URL 背后的想法是什么？另外为什么要对 uniqid 进行 md5 哈希？

<?php 

   $app_id = "YOUR_APP_ID";
   $app_secret = "YOUR_APP_SECRET";
   $my_url = "YOUR_URL";

   session_start();
   $code = $_REQUEST["code"];

   if(empty($code)) {
     $_SESSION['state'] = md5(uniqid(rand(), TRUE)); //CSRF protection
     $dialog_url = "http://www.facebook.com/dialog/oauth?client_id=" 
       . $app_id . "&redirect_uri=" . urlencode($my_url) . "&state="
       . $_SESSION['state'];

     echo("<script> top.location.href='" . $dialog_url . "'</script>");
   }

   if($_REQUEST['state'] == $_SESSION['state']) {
     $token_url = "https://graph.facebook.com/oauth/access_token?"
       . "client_id=" . $app_id . "&redirect_uri=" . urlencode($my_url)
       . "&client_secret=" . $app_secret . "&code=" . $code;

     $response = file_get_contents($token_url);
     $params = null;
     parse_str($response, $params);

     $graph_url = "https://graph.facebook.com/me?access_token=" 
       . $params['access_token'];

     $user = json_decode(file_get_contents($graph_url));
     echo("Hello " . $user->name);
   }
   else {
     echo("The state does not match. You may be a victim of CSRF.");
   }

 ?>
4

3 回答 3

3

我知道这可能会被预定，因为它是一个维基百科链接，但是你可以在这里找到对 csrf 的完整解释http://en.wikipedia.org/wiki/Cross-site_request_forgery，一旦你完全理解它是什么你就会明白每个用户拥有一个唯一的令牌如何防止它。预防部分列出了使用每用户令牌作为预防方法。

于 2011-07-11T20:42:48.693 回答
1

它确保您仅在响应站点​​发起的操作时被重定向到此处。在https://www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29阅读 CSRF 。

于 2011-07-11T20:43:39.427 回答
1

通过生成一个难以（不可能）猜测的值并将其存储在会话中以及将其与请求一起发送，该脚本可以验证它是否被自己调用而不是在其他地方调用。在其他地方，难以猜测的值将是未知的，因此无法提供。

于 2011-07-11T20:43:44.860 回答