yii CSRF攻撃を防ぐための鍵は、組み込みメカニズムを正しく使用することです。まず、YIIはデフォルトでCSRF保護(hù)を有効にし、トークンを自動(dòng)的に生成します。 ActiveFormまたはHTML :: beginFormを使用すると、トークンは自動(dòng)的に追加されます。第二に、フォームを手動(dòng)で書いたり、AJAXを使用したりする場(chǎng)合、Yii :: $ app-> request-> csrftokenを介してトークンを取得する必要があります。メタタグを介してJSに渡すことをお?jiǎng)幛幛筏蓼埂５谌?、APIインターフェイスの場(chǎng)合、CSRFをオフにし、JWTなどの他の認(rèn)証を強(qiáng)化するか、ヘッダーを介してトークンを渡すことを選択できます。最後に、GETリクエストでは機(jī)密操作を避け、Post/Put/Deleteのみを使用して狀態(tài)の変更を?qū)g行する必要があります。
YIIでは、クロスサイトリクエストフォーファリー（CSRF）攻撃を防ぐことは実際には複雑ではありませんが、非常に重要です。 YIIフレームワーク自體には、デフォルトで有効になっているCSRF保護(hù)メカニズムが組み込まれています。それがどのように機(jī)能するかを理解し、実際のニーズに基づいて合理的な構(gòu)成を作成する限り、そのような攻撃を効果的に防ぐことができます。
電源を入れて、YiiのCSRF保護(hù)を正しく使用します
YIIは、デフォルトで各セッションに対して一意のCSRFトークンを生成し、各POSTリクエストで検証します。 ActiveFormやHTML :: beginFormなどのYIIが提供するフォームアシスタンスメソッドを使用している場(chǎng)合、トークンは手動(dòng)処理なしでフォームに自動(dòng)的に追加されます。
ただし、自分でフォームを書いたり、AJAXでデータを送信したりする場(chǎng)合は、CSRFトークンを手動(dòng)で挿入する必要があります。例えば：
- 視界にトークンを入手：
Yii::$app->request->csrfToken - JavaScriptで使用する場(chǎng)合は、トークンをメタタグに入れて、JSで取得することをお?jiǎng)幛幛筏蓼埂?pre class='brush:php;toolbar:false;'> <Meta name = "csrf-token" content = "<？= yii :: $ app-> request-> csrftoken？>">
これにより、XSSのリスクを回避し、フロントエンドコールを促進(jìn)できます。
APIインターフェイスのCSRF設(shè)定に特に注意してください
フロントエンドおよびバックエンドの個(gè)別のアプリケーションまたはRESTFUL APIインターフェイスの場(chǎng)合、通常、Cookie/セッションベースの認(rèn)証は推奨されません?，F(xiàn)時(shí)點(diǎn)では、CSRF保護(hù)をオフにするか、別の方法で処理する必要がある場(chǎng)合があります。
コントローラーまたはモジュールの構(gòu)成でCSRF検証を無効にすることができます。
パブリック関數(shù)init（）
{
$ this-> enablecsrfvalidation = false;
親:: init（）;
}ただし、OAUTH、JWT認(rèn)証などの使用など、CSRFを閉鎖する際に他のセキュリティ対策を強(qiáng)化する必要があることに注意する必要があります。
また、CSRFの検証を維持したい場(chǎng)合は、トークンをヘッダーに渡すのではなく、ヘッダーに渡すことができます。フロントエンドは、リクエストヘッダーにX-CSRF-Tokenをもたらし、バックエンドはそれを認(rèn)識(shí)できます。
GETリクエストは機(jī)密操作を?qū)g行しないでください
多くのCSRF攻撃は、ユーザーのブラウザの自動(dòng)Cookieを利用しており、GETリクエストがトリガーされる可能性が最も高くなります。したがって、データの削除、ユーザー情報(bào)の変更などの機(jī)密操作を取得しないでください。
CSRF保護(hù)を有効にしても、この原則に従う必要があります。デフォルトでは、YIIはGETリクエストでCSRF検証を?qū)g行しないためです。これは、GETが「読み取り専用」であると仮定するためです。
したがって、正しい方法は次のとおりです。
- post/put/deleteを使用して、狀態(tài)の変更を?qū)g行します
- GETが必要な場(chǎng)合は、ユーザーのIDの変更や機(jī)密データ操作を伴わないでください
要約しましょう
基本的にそれだけです。 YiiのCSRF保護(hù)メカニズムはすでに非常に完全です。開発プロセス中にいくつかの重要なポイントに注意を払う限り、トークンを正しく使用し、APIインターフェイスを合理的に構(gòu)成し、GETで危険な操作を回避することで、CSRF攻撃から十分に保護(hù)できます。これらは簡(jiǎn)単に思えますが、注意を払わなければ、特定のリンクを無視するのは簡(jiǎn)単で、セキュリティの脆弱性をもたらします。
以上がYiiでのクロスサイトリクエストForgery（CSRF）攻撃を防ぐにはどうすればよいですか？の詳細(xì)內(nèi)容です。詳細(xì)については、PHP 中國語 Web サイトの他の関連記事を參照してください。
ホットAIツール
Undress AI Tool
脫衣畫像を無料で
Undresser.AI Undress
リアルなヌード寫真を作成する AI 搭載アプリ
AI Clothes Remover
寫真から衣服を削除するオンライン AI ツール。
Clothoff.io
AI衣類リムーバー
Video Face Swap
完全無料の AI 顔交換ツールを使用して、あらゆるビデオの顔を簡(jiǎn)単に交換できます。
人気の記事
ホットツール
メモ帳++7.3.1
使いやすく無料のコードエディター
SublimeText3 中國語版
中國語版、とても使いやすい
ゼンドスタジオ 13.0.1
強(qiáng)力な PHP 統(tǒng)合開発環(huán)境
ドリームウィーバー CS6
ビジュアル Web 開発ツール
SublimeText3 Mac版
神レベルのコード編集ソフト（SublimeText3）
Laravel におけるクロスサイト スクリプティング (XSS) およびクロスサイト リクエスト フォージェリ (CSRF) からの保護(hù)
Aug 13, 2023 pm 04:43 PM
Laravel におけるクロスサイト スクリプティング (XSS) およびクロスサイト リクエスト フォージェリ (CSRF) からの保護(hù) インターネットの発展に伴い、ネットワーク セキュリティの問題はますます深刻になってきています。その中でも、Cross-SiteScripting (XSS) と Cross-SiteRequestForgery (CSRF) は、最も一般的な攻撃手法の 1 つです。 Laravel は、人気のある PHP 開発フレームワークとして、ユーザーにさまざまなセキュリティ メカニズムを提供します。
PHP Framework セキュリティ ガイド: CSRF 攻撃を防ぐには?
Jun 01, 2024 am 10:36 AM
PHP Framework セキュリティ ガイド: CSRF 攻撃を防ぐには?クロスサイト リクエスト フォージェリ (CSRF) 攻撃は、攻撃者がユーザーをだまして被害者の Web アプリケーション內(nèi)で意図しないアクションを?qū)g行させるネットワーク攻撃の一種です。 CSRFはどのように機(jī)能しますか? CSRF 攻撃は、ほとんどの Web アプリケーションが同じドメイン名の異なるページ間でリクエストを送信できるという事実を利用します。攻撃者は、被害者のアプリケーションにリクエストを送信する悪意のあるページを作成し、不正なアクションを引き起こします。 CSRF攻撃を防ぐにはどうすればよいでしょうか? 1. CSRF 対策トークンを使用する: 各ユーザーに一意のトークンを割り當(dāng)て、セッションまたは Cookie に保存します。トークンを送信するための非表示フィールドをアプリケーションに含めます。
PHP セッションのクロスドメインおよびクロスサイトのリクエスト フォージェリの比較分析
Oct 12, 2023 pm 12:58 PM
PHPSession のクロスドメインおよびクロスサイト リクエスト フォージェリの比較分析 インターネットの発展に伴い、Web アプリケーションのセキュリティが特に重要になってきました。 PHPSession は、Web アプリケーションの開発時(shí)によく使用される認(rèn)証およびセッション追跡メカニズムですが、クロスドメイン リクエストとクロスサイト リクエスト フォージェリ (CSRF) は 2 つの主要なセキュリティ脅威です。ユーザーデータとアプリケーションのセキュリティを保護(hù)するために、開発者はセッションクロスドメインとCSRFの違いを理解し、CSRFを採用する必要があります。
PHP フレームワーク Yii を使用して可用性の高いクラウド バックアップ システムを開発する方法
Jun 27, 2023 am 09:04 AM
クラウド コンピューティング テクノロジの継続的な発展により、データのバックアップはすべての企業(yè)が行う必要のあるものになりました。この文脈では、可用性の高いクラウド バックアップ システムを開発することが特に重要です。 PHP フレームワーク Yii は、開発者が高性能の Web アプリケーションを迅速に構(gòu)築できる強(qiáng)力なフレームワークです。ここでは、Yii フレームワークを使用して可用性の高いクラウド バックアップ システムを開発する方法を紹介します。データベースモデルの設(shè)計(jì) Yii フレームワークでは、データベースモデルは非常に重要な部分です。データ バックアップ システムには多くのテーブルとリレーションシップが必要なため、
PHPフレームワークLaravelとYiiの違いは何ですか
Apr 30, 2025 pm 02:24 PM
LaravelとYiiの主な違いは、デザインの概念、機(jī)能的特性、使用シナリオです。 1.Laravelは、開発のシンプルさと喜びに焦點(diǎn)を當(dāng)てており、迅速な開発や初心者に適したEloquentormやArtisan Toolsなどの豊富な機(jī)能を提供します。 2.YIIはパフォーマンスと効率を強(qiáng)調(diào)し、高負(fù)荷アプリケーションに適しており、効率的なActiverCordおよびキャッシュシステムを提供しますが、急な學(xué)習(xí)曲線があります。
yii with docker：アプリケーションのコンテナ化と展開
Apr 02, 2025 pm 02:13 PM
Dockerを使用してYIIアプリケーションをコンテナ化および展開する手順には次のものがあります。1。DockerFileを作成し、畫像構(gòu)築プロセスを定義します。 2. DockerComposeを使用して、YIIアプリケーションとMySQLデータベースを起動(dòng)します。 3.畫像のサイズとパフォーマンスを最適化します。これには、特定の技術(shù)的運(yùn)用だけでなく、DockerFileの作業(yè)原則とベストプラクティスを理解して、効率的で信頼できる展開を確保することも含まれます。
クロスサイトリクエストフォーファリー（CSRF）とは何ですか？また、PHPにCSRF保護(hù)をどのように実裝しますか？
Apr 07, 2025 am 12:02 AM
PHPでは、予測(cè)不可能なトークンを使用して、CSRF攻撃を効果的に防ぐことができます。特定の方法には次のものが含まれます。1。フォームのCSRFトークンを生成および埋め込みます。 2.リクエストを処理するときにトークンの有効性を確認(rèn)します。
Yii2 プログラミングガイド: Cron サービスの実行方法
Sep 01, 2023 pm 11:21 PM
「Yii とは何ですか?」という質(zhì)問がある場(chǎng)合は、私の以前のチュートリアル「Yii フレームワークの紹介」を參照してください。このチュートリアルでは、Yii の利點(diǎn)をレビューし、2014 年 10 月にリリースされた Yii 2.0 の新機(jī)能の概要を説明しています。うーん> この Yii2 によるプログラミング シリーズでは、読者に Yii2PHP フレームワークの使い方をガイドします。今日のチュートリアルでは、Yii のコンソール機(jī)能を活用して cron ジョブを?qū)g行する方法を共有します。以前、私はバックグラウンド タスクを?qū)g行するために cron ジョブで wget (Web アクセス可能な URL) を使用しました。これにより、セキュリティ上の懸念が生じ、パフォーマンス上の問題も発生します。 Security for Startup シリーズでリスクを軽減するいくつかの方法について説明しましたが、コンソール駆動(dòng)のコマンドに移行したいと考えていました。
