PHP? CSRF ??? ????? Anti-CSRF ??? ??????. 1) random_bytes () ?? bin2hex (random_bytes (32))? ???? ?? ??? ???? ???? $ _session? ???? ??? ???? ??? ??????. 2) ??? ??? ??? ??? ??? ???? ???? ??? ??? ?????. 403 ??? ??? ??? ?????. 3) ?? ???? ???? ?? ?? ??? ??? ???? AJAX/API ??? ??????. 4) XSS ??? ???? ?? ??? ?? ? ? htmlspecialchars ()? ??????. 5) ???? ?? ??? ?? ? ??? ?????. 6) ?? ??? ?? samesite = strict/lax? ???? ?? ??? ?????. 7) ??? ??? ?? ???? ? ??????. ? ??? ?? ???? ????? ?? ?? ???? ??? ? CSRF ??? ?????.

PHP? CSRF ??? ????? ??? ???? ??? ? -CSRF ??? ???????. ????? ?????. ?? ?? ?? ?? (? : ?? ??)?? ??? ? ??? ? ???? ???? ??? ??? ??? ????????. ? ??? ??? ??? ??? ????? ????.

??? ??? ??? ??? ??? ????.

?? -CSRF ??? ???? ??????

?? ?? ?? ??? ?? ??? ???? ??? ?? ? ??? ??? ??? ???? ????? ?? ?? ??? ??? ???? ??????.

• random_bytes() ?? bin2hex(random_bytes(32)) ???? ?? ??? ????.
• ??? ?? ? ? ??? ??? ? ??? $_SESSION ? ??????.

?? ??:

 if (? ($ _ ?? [ 'csrf_token'])) {
    $ _session [ 'csrf_token'] = bin2Hex (random_bytes (50));
}

?? ?? ??? ??? :

 <?? ?? = "hidden"name = "csrf_token"value = "<? = htmlspecialchars ($ _ session [ &#39;csrf_token&#39;])?">

?? ???, ? ?? ???? ???? ????? ?? ? ??? ??? ?????.

?? ???? ??? ??????

??? ???? ??? ???? ??? ??? ??? ??? ????? ??????.

• ?? ??? ??? ??????.
• ?? ??? ??? ?? ???? ( === ) ??????.
• ???? ??? 403 ?? ?? ?? ??? ??? ??????.

?? ?? :

 if (! isset ($ _ post [ 'csrf_token']) || $ _post [ 'csrf_token']! == $ _session [ 'csrf_token']) {
    http_response_code (403);
    ?? ( '???? ?? CSRF ??');
}

??? ??? ?? ?? : XSS? ??? ???? ?? ???? ?? ??? HTML? ?? ? ? ?? htmlspecialchars() ??????.

?? ??? ?? ???? ??? ?? ??? ?? ?? ??? ?? ???? ???? ?? ?? ????.

Ajax ??? API? ?? ????

??? ????? JavaScript? ???? ??? ????? API ????? ?? ?? ??? CSRF ??? ?????.

• AJAX ??? ?? ?? ??? CSRF ??? ??????.
• ??? ?? ?? ?? ??? ????? ???? ?? ? ? ???? ?? ? ????.

?? ??, HTML ???? ?? ??? ??????.

 <meta name = "csrf-token"content = "<? = htmlspecialchars ($ _ session [ &#39;csrf_token&#39;])?>">

?? ?? JS?? :

 ?? ( '/update-profile', {
    ?? : 'post',
    ?? : {
        'x-csrf-token': document.querySelector ( 'meta [name = "csrf-token"]'). ??
    },
    Body : New UrlSearchparams ({?? : 'John Doe'})
});

????? X-CSRF-Token ???? ??? ?? ?? ??? ????? ??????.

??? ?? : PHP ???? ???? ?? ??? ? (SPA) ?? ??? ?? ???? ?? ??? ??? ?? ? CSRF ??? ???? ? ?? ??? ?? ??????.

??? ? : Samesite ?? ? HTTP ?? ??

??? ???? ?? ??? ????.

• ?? ???? SameSite=Strict ?? Lax ???? ??? ??? ??? ????.
• ??? ??? ?? ??? ?? ? ??????. GET ?? ?? ??? ???? ????.
• ??? ?? (?? ??? ??)? ??, ?? ??? ?? ???? ???? ? ??????.

???? CSRF ??? ???? ?? ??? ??? ? ?????.

??? ????? ?????. PHP? CSRF ??? ?? ??? ???? ???? ???? ?? ?? ??? ????????. ???? ????? ??? ? ??? ?? ?? ??????.

? ??? PHP? CSRF (Cross-Site Request Properery) ??? ????? ?????????? ?? ?????. ??? ??? PHP ??? ????? ?? ?? ??? ?????!