|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528
529
530
531
532
533
534
535
536
537
538
539
540
541
542
543
544
545
546
547
548
549
550
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566
567
568
569
570
571
572
573
574
575
576
577
578
579
580
581
582
583
584
585
586
587
588
589
590
591
592
593
594
595
596
597
598
599
600
601
602
603
604
605
606
607
608
609
610
611
612
613
614
615
|
<br>绝不要信任外部数据或输入关于 Web 应用程序安全性，必须认识到的第一件事是不应该信任外部数据。外部数据（outside data） 包括不是由程序员在 PHP 代码中直接输入的任何数据。在采取措施确保安全之前，来自任何其他来源（比如 GET 变量、表单 POST、数据库、配置文件、会话变量或 cookie）的任何数据都是不可信任的。例如，下面的数据元素可以被认为是安全的，因为它们是在 PHP 中设置的。1<?php2$myUsername
= ‘tmyer‘;
3$arrayUsers
= array(‘tmyer‘, ‘tom‘, ‘tommy‘);
4define("GREETING", ‘hello there‘
. $myUsername);
5?>但是，下面的数据元素都是有瑕疵的。1<?php2$myUsername
= $_POST[‘username‘]; //tainted!
3$arrayUsers
= array($myUsername, ‘tom‘, ‘tommy‘); //tainted!
4define("GREETING", ‘hello there‘
. $myUsername); //tainted!
5?>为什么第一个变量 $myUsername
是有瑕疵的？因为它直接来自表单 POST。用户可以在这个输入域中输入任何字符串，包括用来清除文件或运行以前上传的文件的恶意命令。您可能会问，“难道不能使用只接受字母 A-Z 的客户端（JavaScript）表单检验脚本来避免这种危险吗？”是的，这总是一个有好处的步骤，但是正如在后面会看到的，任何人都可以将任何表单下载到自己的机器上，修改它，然后重新提交他们需要的任何内容。
解决方案很简单：必须对 $_POST[‘username‘] 运行清理代码。如果不这么做，那么在使用 $myUsername
的任何其他时候（比如在数组或常量中），就可能污染这些对象。
对用户输入进行清理的一个简单方法是，使用正则表达式来处理它。在这个示例中，只希望接受字母。将字符串限制为特定数量的字符，或者要求所有字母都是小写的，这可能也是个好主意。01<?php02$myUsername
= cleanInput($_POST[‘username‘]); //clean!
03$arrayUsers
= array($myUsername, ‘tom‘, ‘tommy‘); //clean!
04define("GREETING", ‘hello there‘
. $myUsername); //clean!
05function
cleanInput($input){
06 $clean
= strtolower($input);
07 $clean
= preg_replace("/[^a-z]/", "", $clean);
08 $clean
= substr($clean,0,12);
09 return
$clean;
10}11?>禁用那些使安全性难以实施的 PHP 设置已经知道了不能信任用户输入，还应该知道不应该信任机器上配置 PHP 的方式。例如，要确保禁用 register_globals。如果启用了 register_globals，就可能做一些粗心的事情，比如使用 $variable
替换同名的 GET 或 POST 字符串。通过禁用这个设置，PHP 强迫您在正确的名称空间中引用正确的变量。要使用来自表单 POST 的变量，应该引用 $_POST[‘variable‘]。这样就不会将这个特定变量误会成 cookie、会话或 GET 变量。
如果不能理解它，就不能保护它一些开发人员使用奇怪的语法，或者将语句组织得很紧凑，形成简短但是含义模糊的代码。这种方式可能效率高，但是如果您不理解代码正在做什么，那么就无法决定如何保护它。例如，您喜欢下面两段代码中的哪一段？01<?php02//obfuscated code03$input
= (isset($_POST[‘username‘]) ? $_POST[‘username‘]:‘‘);
04//unobfuscated code05$input
= ‘‘;
06if (isset($_POST[‘username‘])){
07 $input
= $_POST[‘username‘];
08}else{
09 $input
= ‘‘;
10}11?>在第二个比较清晰的代码段中，很容易看出 $input
是有瑕疵的，需要进行清理，然后才能安全地处理。
“纵深防御” 是新的法宝本教程将用示例来说明如何保护在线表单，同时在处理表单的 PHP 代码中采用必要的措施。同样，即使使用 PHP regex 来确保 GET 变量完全是数字的，仍然可以采取措施确保 SQL 查询使用转义的用户输入。纵深防御不只是一种好思想，它可以确保您不会陷入严重的麻烦。既然已经讨论了基本规则，现在就来研究第一种威胁：SQL 注入攻击。在 SQL 注入攻击 中，用户通过操纵表单或 GET 查询字符串，将信息添加到数据库查询中。例如，假设有一个简单的登录数据库。这个数据库中的每个记录都有一个用户名字段和一个密码字段。构建一个登录表单，让用户能够登录。下面是一个简单的登录表单：01<html>02<head>03<title>Login</title>04</head>05<body>06<form action="verify.php"
method="post">
07<p><label for=‘user‘>Username</label>
08<input type=‘text‘
name=‘user‘
id=‘user‘/>
09</p>10<p><label for=‘pw‘>Password</label>
11<input type=‘password‘
name=‘pw‘ id=‘pw‘/>
12</p>13<p><input type=‘submit‘
value=‘login‘/></p>
14</form>15</body>16</html>这个表单接受用户输入的用户名和密码，并将用户输入提交给名为 verify.php 的文件。在这个文件中，PHP 处理来自登录表单的数据，如下所示：01<?php02$okay
= 0;
03$username
= $_POST[‘user‘];
04$pw
= $_POST[‘pw‘];
05$sql
= "select count(*) as ctr from users where username=‘".$username."‘ and password=‘". $pw."‘ limit 1";
06$result
= mysql_query($sql);
07while
($data = mysql_fetch_object($result)){
08 if
($data->ctr == 1){
09 //they‘re okay to enter the application!
10 $okay
= 1;
11 }
12}13if ($okay){
14 $_SESSION[‘loginokay‘] = true;
15 header("index.php");
16}else{
17 header("login.php");
18}19?>这段代码看起来没问题，对吗？世界各地成百（甚至成千）的 PHP/MySQL 站点都在使用这样的代码。它错在哪里？好，记住 “不能信任用户输入”。这里没有对来自用户的任何信息进行转义，因此使应用程序容易受到攻击。具体来说，可能会出现任何类型的 SQL 注入攻击。例如，如果用户输入 foo 作为用户名，输入 ‘ or ‘1‘=‘1 作为密码，那么实际上会将以下字符串传递给 PHP，然后将查询传递给 MySQL：
1<?php2$sql
= "select count(*) as ctr from users where username=‘foo‘ and password=‘‘ or ‘1‘=‘1‘ limit 1";
3?>这个查询总是返回计数值 1，因此 PHP 会允许进行访问。通过在密码字符串的末尾注入某些恶意 SQL，黑客就能装扮成合法的用户。解决这个问题的办法是，将 PHP 的内置 mysql_real_escape_string() 函数用作任何用户输入的包装器。这个函数对字符串中的字符进行转义，使字符串不可能传递撇号等特殊字符并让 MySQL 根据特殊字符进行操作。下面展示了带转义处理的代码。01<?php02$okay
= 0;
03$username
= $_POST[‘user‘];
04$pw
= $_POST[‘pw‘];
05$sql
= "select count(*) as ctr from users where username=‘".mysql_real_escape_string($username)."‘ and password=‘". mysql_real_escape_string($pw)."‘ limit 1";
06$result
= mysql_query($sql);
07while
($data = mysql_fetch_object($result)){
08 if
($data->ctr == 1){
09 //they‘re okay to enter the application!
10 $okay
= 1;
11 }
12}13if ($okay){
14 $_SESSION[‘loginokay‘] = true;
15 header("index.php");
16}else{
17 header("login.php");
18}19?>使用 mysql_real_escape_string() 作为用户输入的包装器，就可以避免用户输入中的任何恶意 SQL 注入。如果用户尝试通过 SQL 注入传递畸形的密码，那么会将以下查询传递给数据库：1select count(*) as
ctr from users where username=‘foo‘
and password=‘\‘ or \‘1\‘=\‘1‘
limit 1"
数据库中没有任何东西与这样的密码匹配。仅仅采用一个简单的步骤，就堵住了 Web 应用程序中的一个大漏洞。这里得出的经验是，总是应该对 SQL 查询的用户输入进行转义。但是，还有几个安全漏洞需要堵住。下一项是操纵 GET 变量。防止用户操纵 GET 变量上面我们探讨了，防止了用户使用畸形的密码进行登录。如果您很聪明，应该应用您学到的方法，确保对 SQL 语句的所有用户输入进行转义。但是，用户现在已经安全地登录了。用户拥有有效的密码，并不意味着他将按照规则行事 —— 他有很多机会能够造成损害。例如，应用程序可能允许用户查看特殊的内容。所有链接指向 template.php?pid=33 或 template.php?pid=321 这样的位置。URL 中问号后面的部分称为查询字符串。因为查询字符串直接放在 URL 中，所以也称为 GET 查询字符串。在 PHP 中，如果禁用了 register_globals，那么可以用 $_GET[‘pid‘] 访问这个字符串。
1<?php2$pid
= $_GET[‘pid‘];
3//we create an object of a fictional class Page4$obj
= new Page;
5$content
= $obj->fetchPage($pid);
6//and now we have a bunch of PHP that displays the page7?>这里有什么错吗？首先，这里隐含地相信来自浏览器的 GET 变量 pid 是安全的。这会怎么样呢？大多数用户没那么聪明，无法构造出语义攻击。但是，如果他们注意到浏览器的 URL 位置域中的 pid=33，就可能开始捣乱。如果他们输入另一个数字，那么可能没问题；但是如果输入别的东西，比如输入 SQL 命令或某个文件的名称（比如 /etc/passwd），或者搞别的恶作剧，比如输入长达 3,000 个字符的数值，那么会发生什么呢？在这种情况下，要记住基本规则，不要信任用户输入。应用程序开发人员知道 template.php 接受的个人标识符（PID）应该是数字，所以可以使用 PHP 的 is_numeric() 函数确保不接受非数字的 PID，如下所示：
01<?php02$pid
= $_GET[‘pid‘];
03if (is_numeric($pid)){
04 //we create an object of a fictional class Page
05 $obj
= new Page;
06 $content
= $obj->fetchPage($pid);
07 //and now we have a bunch of PHP that displays the page
08}else{
09 //didn‘t pass the is_numeric() test, do something else!
10}11?>这个方法似乎是有效的，但是以下这些输入都能够轻松地通过 is_numeric() 的检查：
100 （有效）100.1 （不应该有小数位）+0123.45e6 （科学计数法 —— 不好）0xff33669f （十六进制 —— 危险！危险！）那么，有安全意识的 PHP 开发人员应该怎么做呢？多年的经验表明，最好的做法是使用正则表达式来确保整个 GET 变量由数字组成，如下所示：使用正则表达式限制 GET 变量：01<?php02$pid
= $_GET[‘pid‘];
03if (strlen($pid)){
04 if
(!ereg("^[0-9]+$",$pid)){
05 //do something appropriate, like maybe logging them out or sending them back to home page
06 }
07}else{
08 //empty $pid, so send them back to the home page
09}10//we create an object of a fictional class Page, which is now11//moderately protected from evil user input12$obj
= new Page;
13$content
= $obj->fetchPage($pid);
14//and now we have a bunch of PHP that displays the page15?>需要做的只是使用 strlen() 检查变量的长度是否非零；如果是，就使用一个全数字正则表达式来确保数据元素是有效的。如果 PID 包含字母、斜线、点号或任何与十六进制相似的内容，那么这个例程捕获它并将页面从用户活动中屏蔽。如果看一下 Page 类幕后的情况，就会看到有安全意识的 PHP 开发人员已经对用户输入 $pid
进行了转义，从而保护了 fetchPage() 方法，如下所示：
对 fetchPage() 方法进行转义：1<?php2class
Page{
3 function
fetchPage($pid){
4 $sql
= "select pid,title,desc,kw,content,status from page where pid=‘".mysql_real_escape_string($pid)."‘";
5 }
6}7?>您可能会问，“既然已经确保 PID 是数字，那么为什么还要进行转义？” 因为不知道在多少不同的上下文和情况中会使用 fetchPage() 方法。必须在调用这个方法的所有地方进行保护，而方法中的转义体现了纵深防御的意义。如果用户尝试输入非常长的数值，比如长达 1000 个字符，试图发起缓冲区溢出攻击，那么会发生什么呢？下一节更详细地讨论这个问题，但是目前可以添加另一个检查，确保输入的 PID 具有正确的长度。您知道数据库的 pid 字段的最大长度是 5 位，所以可以添加下面的检查。使用正则表达式和长度检查来限制 GET 变量：01<?php02$pid
= $_GET[‘pid‘];
03if (strlen($pid)){
04 if
(!ereg("^[0-9]+$",$pid) && strlen($pid) > 5){
05 //do something appropriate, like maybe logging them out or sending them back to home page
06 }
07} else
{
08 //empty $pid, so send them back to the home page
09}10 //we create an object of a fictional class Page, which is now
11 //even more protected from evil user input
12 $obj
= new Page;
13 $content
= $obj->fetchPage($pid);
14 //and now we have a bunch of PHP that displays the page
15?>现在，任何人都无法在数据库应用程序中塞进一个 5,000 位的数值 —— 至少在涉及 GET 字符串的地方不会有这种情况。想像一下黑客在试图突破您的应用程序而遭到挫折时咬牙切齿的样子吧！而且因为关闭了错误报告，黑客更难进行侦察。缓冲区溢出攻击缓冲区溢出攻击 试图使 PHP 应用程序中（或者更精确地说，在 Apache 或底层操作系统中）的内存分配缓冲区发生溢出。请记住，您可能是使用 PHP 这样的高级语言来编写 Web 应用程序，但是最终还是要调用 C（在 Apache 的情况下）。与大多数低级语言一样，C 对于内存分配有严格的规则。缓冲区溢出攻击向缓冲区发送大量数据，使部分数据溢出到相邻的内存缓冲区，从而破坏缓冲区或者重写逻辑。这样就能够造成拒绝服务、破坏数据或者在远程服务器上执行恶意代码。防止缓冲区溢出攻击的惟一方法是检查所有用户输入的长度。例如，如果有一个表单元素要求输入用户的名字，那么在这个域上添加值为 40 的 maxlength 属性，并在后端使用 substr() 进行检查。下面给出表单和 PHP 代码的简短示例。
01<?php02if ($_POST[‘submit‘] == "go"){
03 $name
= substr($_POST[‘name‘],0,40);
04}05?>06<form action="<?php echo $_SERVER[‘PHP_SELF‘];?>"
method="post">
07<p><label for="name">Name</label>
08<input type="text"
name="name"
id="name" size="20" maxlength="40"/></p>
09<p><input type="submit"
name="submit"
value="go"/></p>
10</form>为什么既提供 maxlength 属性，又在后端进行 substr() 检查？因为纵深防御总是好的。浏览器防止用户输入 PHP 或 MySQL 不能安全地处理的超长字符串（想像一下有人试图输入长达 1,000 个字符的名称），而后端 PHP 检查会确保没有人远程地或者在浏览器中操纵表单数据。
正如您看到的，这种方式与前面使用 strlen() 检查 GET 变量 pid 的长度相似。在这个示例中，忽略长度超过 5 位的任何输入值，但是也可以很容易地将值截短到适当的长度，如下改变输入的 GET 变量的长度所示：
01<?php02$pid
= $_GET[‘pid‘];
03if (strlen($pid)){
04 if
(!ereg("^[0-9]+$",$pid)){
05 //if non numeric $pid, send them back to home page
06 }
07}else{
08 //empty $pid, so send them back to the home page
09}10 //we have a numeric pid, but it may be too long, so let‘s check
11 if
(strlen($pid)>5){
12 $pid
= substr($pid,0,5);
13 }
14 //we create an object of a fictional class Page, which is now
15 //even more protected from evil user input
16 $obj
= new Page;
17 $content
= $obj->fetchPage($pid);
18 //and now we have a bunch of PHP that displays the page
19?>注意，缓冲区溢出攻击并不限于长的数字串或字母串。也可能会看到长的十六进制字符串（往往看起来像 \xA3 或 \xFF）。记住，任何缓冲区溢出攻击的目的都是淹没特定的缓冲区，并将恶意代码或指令放到下一个缓冲区中，从而破坏数据或执行恶意代码。对付十六进制缓冲区溢出最简单的方法也是不允许输入超过特定的长度。如果您处理的是允许在数据库中输入较长条目的表单文本区，那么无法在客户端轻松地限制数据的长度。在数据到达 PHP 之后，可以使用正则表达式清除任何像十六进制的字符串。防止十六进制字符串：01<?php02if ($_POST[‘submit‘] == "go"){
03 $name
= substr($_POST[‘name‘],0,40);
04 //clean out any potential hexadecimal characters
05 $name
= cleanHex($name);
06 //continue processing....
07}08function
cleanHex($input){
09 $clean
= preg_replace("![\][xX]([A-Fa-f0-9]{1,3})!", "",$input);
10 return
$clean;
11}12?>13<form action="<?php echo $_SERVER[‘PHP_SELF‘];?>"
method="post">
14<p><label for="name">Name</label>
15<input type="text"
name="name"
id="name" size="20" maxlength="40"/></p>
16<p><input type="submit"
name="submit"
value="go"/></p>
17</form>您可能会发现这一系列操作有点儿太严格了。毕竟，十六进制串有合法的用途，比如输出外语中的字符。如何部署十六进制 regex 由您自己决定。比较好的策略是，只有在一行中包含过多十六进制串时，或者字符串的字符超过特定数量（比如 128 或 255）时，才删除十六进制串。跨站点脚本攻击在跨站点脚本（XSS）攻击中，往往有一个恶意用户在表单中（或通过其他用户输入方式）输入信息，这些输入将恶 意的客户端标记插入过程或数据库中。例如，假设站点上有一个简单的来客登记簿程序，让访问者能够留下姓名、电子邮件地址和简短的消息。恶意用户可以利用这 个机会插入简短消息之外的东西，比如对于其他用户不合适的图片或将用户重定向到另一个站点的 Javascrīpt，或者窃取 cookie 信息。幸运的是，PHP 提供了 strip_tags() 函数，这个函数可以清除任何包围在 HTML 标记中的内容。strip_tags() 函数还允许提供允许标记的列表，比如 <b> 或 <i>。
浏览器内的数据操纵有一类浏览器插件允许用户篡改页面上的头部元素和表单元素。使用 Tamper Data（一个 Mozilla 插件），可以很容易地操纵包含许多隐藏文本字段的简单表单，从而向 PHP 和 MySQL 发送指令。用户在点击表单上的 Submit 之前，他可以启动 Tamper Data。在提交表单时，他会看到表单数据字段的列表。Tamper Data 允许用户篡改这些数据，然后浏览器完成表单提交。让我们回到前面建立的示例。已经检查了字符串长度、清除了 HTML 标记并删除了十六进制字符。但是，添加了一些隐藏的文本字段，如下所示：01<?php02if ($_POST[‘submit‘] == "go"){
03 //strip_tags
04 $name
= strip_tags($_POST[‘name‘]);
05 $name
= substr($name,0,40);
06 //clean out any potential hexadecimal characters
07 $name
= cleanHex($name);
08 //continue processing....
09}10function
cleanHex($input){
11 $clean
= preg_replace("![\][xX]([A-Fa-f0-9]{1,3})!", "",$input);
12 return
$clean;
13}14?>15<form action="<?php echo $_SERVER[‘PHP_SELF‘];?>"
method="post">
16<p><label for="name">Name</label>
17<input type="text"
name="name"
id="name" size="20" maxlength="40"/></p>
18<input type="hidden"
name="table"
value="users"/>
19<input type="hidden"
name="action"
value="create"/>
20<input type="hidden"
name="status"
value="live\"/>
21<p><input type="submit"
name="submit"
value="go"/></p>
22</form>注意，隐藏变量之一暴露了表名：users。还会看到一个值为 create 的 action 字段。只要有基本的 SQL 经验，就能够看出这些命令可能控制着中间件中的一个 SQL 引擎。想搞大破坏的人只需改变表名或提供另一个选项，比如 delete。
现在还剩下什么问题呢？远程表单提交。远程表单提交Web 的好处是可以分享信息和服务。坏处也是可以分享信息和服务，因为有些人做事毫无顾忌。以表单为例。任何人都能够访问一个 Web 站点，并使用浏览器上的 File > Save As 建立表单的本地副本。然后，他可以修改 action 参数来指向一个完全限定的 URL（不指向 formHandler.php，而是指向 http://www.nowamagic.net/formHandler.php，因为表单在这个站点上），做他希望的任何修改，点击 Submit，服务器会把这个表单数据作为合法通信流接收。
首先可能考虑检查 $_SERVER[‘HTTP_REFERER‘]，从而判断请求是否来自自己的服务器，这种方法可以挡住大多数恶意用户，但是挡不住最高明的黑客。这些人足够聪明，能够篡改头部中的引用者信息，使表单的远程副本看起来像是从您的服务器提交的。
处理远程表单提交更好的方式是，根据一个惟一的字符串或时间戳生成一个令牌，并将这个令牌放在会话变量和表单中。提交表单之后，检查两个令牌是否匹配。如果不匹配，就知道有人试图从表单的远程副本发送数据。要创建随机的令牌，可以使用 PHP 内置的 md5()、uniqid() 和 rand() 函数，如下所示：01<?php02session_start();03if ($_POST[‘submit‘] == "go"){
04 //check token
05 if
($_POST[‘token‘] == $_SESSION[‘token‘]){
06 //strip_tags
07 $name
= strip_tags($_POST[‘name‘]);
08 $name
= substr($name,0,40);
09 //clean out any potential hexadecimal characters
10 $name
= cleanHex($name);
11 //continue processing....
12 }else{
13 //stop all processing! remote form posting attempt!
14 }
15}16$token
= md5(uniqid(rand(), true));
17$_SESSION[‘token‘]= $token;
18function
cleanHex($input){
19 $clean
= preg_replace("![\][xX]([A-Fa-f0-9]{1,3})!", "",$input);
20 return
$clean;
21}22?>23<form action="<?php echo $_SERVER[‘PHP_SELF‘];?>"
method="post">
24<p><label for="name">Name</label>
25<input type="text"
name="name"
id="name" size="20" maxlength="40"/></p>
26<input type="hidden"
name="token"
value="<?php echo $token;?>"/>
27<p><input type="submit"
name="submit"
value="go"/></p>
28</form>这种技术是有效的，这是因为在 PHP 中会话数据无法在服务器之间迁移。即使有人获得了您的 PHP 源代码，将它转移到自己的服务器上，并向您的服务器提交信息，您的服务器接收的也只是空的或畸形的会话令牌和原来提供的表单令牌。它们不匹配，远程表单提交就失败了。 |