使用init 函數進行安全設置（如防止XSS、CSRF）

gitbox 2025-05-28

在Web 開發中，安全性始終是開發者需要重點關注的問題。隨著攻擊手段的不斷升級，XSS（跨站腳本攻擊）和CSRF（跨站請求偽造）已成為最常見的兩種攻擊形式。因此，合理的安全配置是防止這類攻擊的關鍵。 PHP 作為一種廣泛使用的編程語言，其提供了豐富的安全設置方法。本文將通過init函數的安全配置，來探討如何有效防止XSS 和CSRF 攻擊。

什麼是XSS 和CSRF 攻擊？

XSS 攻擊（跨站腳本攻擊）

XSS 是指攻擊者通過在Web 頁面中插入惡意的JavaScript 代碼，誘使用戶執行這些惡意代碼，從而竊取用戶的敏感信息（如cookie、會話數據等）。 XSS 攻擊可以在未授權用戶的瀏覽器中執行惡意腳本，造成信息洩露和濫用。

CSRF 攻擊（跨站請求偽造）

CSRF 攻擊是攻擊者誘導已登錄用戶訪問惡意網站，從而在用戶不知情的情況下發起未經授權的請求。通過這種方式，攻擊者可以利用受害者的身份進行各種操作（如修改密碼、轉賬等）。

通過init函數進行安全設置

在PHP 中，我們可以通過在init函數中進行全局安全設置，來有效地防止XSS 和CSRF 攻擊。 init函數通常在應用程序的初始化過程中執行，它是設置應用程序配置和處理全局安全措施的理想位置。

防止XSS 攻擊

輸出編碼：
任何來自用戶輸入的數據在輸出到頁面時，都應該進行HTML 實體編碼。這樣可以防止用戶輸入的惡意JavaScript 代碼被瀏覽器執行。
```
 function init() {
    // 設置默認輸出編碼，防止 XSS 攻擊
    ini_set('html_errors', 0);
}

// 在輸出用戶數據時進行 HTML 實體編碼
function safeOutput($data) {
    return htmlspecialchars($data, ENT_QUOTES, 'UTF-8');
}

// 示例：輸出用戶輸入的內容
echo safeOutput($_GET['user_input']);
```
在上面的代碼中， htmlspecialchars函數會將用戶輸入中的特殊字符（如< 、 > 、 &等）轉義為HTML 實體，避免瀏覽器將其解析為HTML 或JavaScript 代碼。
禁止內聯JavaScript：
一些瀏覽器可能會允許內聯JavaScript 代碼的執行，儘管已經轉義了用戶的輸入。因此，為了進一步加強防護，可以通過HTTP 頭信息來阻止內聯腳本的執行。
```
 function init() {
    // 設定 Content Security Policy（CSP）頭信息，限制腳本的來源
    header("Content-Security-Policy: script-src 'self' https://gitbox.net;");
}
```
上面的代碼中，我們通過設置Content-Security-Policy頭信息，限制了腳本的來源，只允許從當前域名和gitbox.net加載JavaScript 腳本，避免外部惡意腳本的加載。

防止CSRF 攻擊

生成並驗證CSRF Token：

CSRF 攻擊的關鍵在於偽造請求。通過使用CSRF Token 可以有效防止攻擊者偽造請求。每次用戶訪問頁面時，服務器都會生成一個唯一的CSRF Token，並將其嵌入到表單中。當表單提交時，服務器會驗證該Token 是否與用戶會話中的Token 匹配，從而確認請求的合法性。

 function generateCSRFToken() {
    if (session_status() == PHP_SESSION_NONE) {
        session_start();
    }
    if (empty($_SESSION['csrf_token'])) {
        $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
    }
    return $_SESSION['csrf_token'];
}

function verifyCSRFToken($token) {
    if (session_status() == PHP_SESSION_NONE) {
        session_start();
    }
    if (empty($_SESSION['csrf_token']) || $token !== $_SESSION['csrf_token']) {
        die('CSRF token validation failed');
    }
}

在表單中，生成CSRF Token 並將其作為隱藏字段提交：

 // 生成 Token
$csrfToken = generateCSRFToken();
?>

<form method="POST" action="https://gitbox.net/submit_form.php">
    <input type="hidden" name="csrf_token" value="<?php echo $csrfToken; ?>">
    <!-- 其他表單字段 -->
    <input type="submit" value="Submit">
</form>

在表單提交時，服務器會驗證請求中的csrf_token是否與存儲在session 中的Token 一致，以確保請求的合法性。

檢查Referer 頭：
CSRF 攻擊通常依賴於用戶在已登錄的狀態下進行跨站請求。可以通過檢查請求中的Referer頭，確保請求來源於信任的頁面，進一步減少CSRF 攻擊的風險。
```
 function checkReferer() {
    $referer = $_SERVER['HTTP_REFERER'] ?? '';
    if (empty($referer) || strpos($referer, 'gitbox.net') === false) {
        die('Invalid referer');
    }
}
```

總結

通過在init函數中進行適當的安全配置，我們可以有效地防止XSS 和CSRF 攻擊。輸出編碼、設置Content Security Policy、生成並驗證CSRF Token，以及檢查Referer 頭等措施都是防護這些攻擊的有效手段。希望本文提供的示例和最佳實踐能夠幫助你構建更加安全的PHP 應用程序，保護用戶免受潛在的安全威脅。