Symfony CSRF 教程

Symfony CSRF 教程展示了如何在 Symfony 应用中实现 CSRF 保护。

Symfony

Symfony 是一组可重用的 PHP 组件和一个用于 Web 项目的 PHP 框架。 Symfony 于 2005 年发布为免费软件。Symfony 的原始作者是 Fabien Potencier。 Symfony 的灵感来自 Djanog，Spring 和 ROR 框架。

CSRF

跨站点请求伪造（CSRF）是一种攻击，其中恶意用户试图使合法用户在不知情的情况下提交他们不打算提交的数据。 CSRF 攻击专门针对状态更改请求，而不是数据盗窃。 成功的 CSRF 攻击可以迫使用户执行状态更改请求，例如转移资金或更改其个人数据详细信息。

CSRF 保护的工作原理是在表单中添加一个隐藏字段，该字段包含仅应用和用户知道的值（令牌）。 这样可以确保用户（而非其他实体）正在提交给定的数据。

symfony/security-csrf组件提供CsrfTokenManager用于生成和验证 CSRF 令牌。 默认情况下，使用 Symfony 表单组件创建的表单包括 CSRF 令牌，Symfony 会自动检查它们，因此我们无需采取任何措施来防止 CSRF 攻击。 csrf_token() Twig 函数为用户呈现 CSRF 令牌。

Symfony CSRF 保护示例

在下面的示例中，我们手动创建一个表单，为其实现 CSRF 保护。 在此应用中，我们在routes.yaml文件中定义路由。

$ composer create-pr