phpで作った掲示板が、f５で更新すると、再度書き込まれる

Question

<?php 

$dataFile = 'bbs.dat';

//CSRF対策
session_start();

function setToken() {
    $token = sha1(uniqid(mt_rand(), true));
        $_SESSION['token'] = $token;    
}

function checkToken() {
    if (empty($_SESSION['token']) || ($_SESSION['token'] != $_POST['token'])) {
        echo "不正な処理が行われました";
        exit;
    }
}

function h($s) {
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}

if ($_SERVER['REQUEST_METHOD'] = 'POST' &&
    isset($_POST['message']) &&
    isset($_POST['user'])) {
    $message = $_POST['message'];
    $user = $_POST['user'];
}
    if ($message != '') {
        $user = ($user == '') ? 'ななしさん' : $user;
        $postedAt = date('Y-m-d H:i:s');
    //    $postedAt = date('Y-m-d H:i:s');
        $message = str_replace( "\t",' ',$message);
        $user = str_replace( "\t",' ',$user);

        $newData = $message . "\t" . $user . "\t" . $postedAt. "\n";
        $fp = fopen($dataFile, 'a');
        fwrite($fp, $newData);
        fclose($fp);
}


$posts = file($dataFile, FILE_IGNORE_NEW_LINES);
$posts = array_reverse($posts);
?>

<form action="" method="post">
                                <dl>
                                    <dd style="margin-bottom:5px"><B>Ｕｓｅｒ名</B></dd><textarea name="user" cols="10" rows="1"></textarea>
                                    <dd>
                                    <dt>○発言どうぞ</dt>
                                    <textarea name="message" cols="50" rows="5"></textarea>
                                    </dd>
                                </dl>
                                    <div>    
                                <input type="submit" value="投稿する" />
                                <input type="hidden" name="token" value="<?php echo h($_SESSION['token']);?>">
                                    </div>
                                <h3>投稿一覧　(<?php echo count($posts); ?>件)　</h3>

                                <ul>
                                    <?php if (count($posts)) : ?> 
                                    <?php foreach ($posts as $post) : ?>    

                                        <?php list($message, $user, $postedAt) = explode("\t", $post); ?>    
                                            <li><?php echo h($user); ?> <?php echo h($message); ?> <?php echo h($postedAt); ?></li>

                                    <?php endforeach; ?>                                
                                    <?php else : ?>
                                        <li>まだ投稿がありません。</li>
                                    <?php endif; ?>
                                </ul>    

上記コードで、掲示板に何か書き込み、f5を押すと"検索しているページは、入力した情報を使用しています。このページに戻った場合、操作のやり直しが発生する可能性があります。続行しますか？"と表示されます。"はい"にすると、ページがリロードされ、先ほどと同じ書き込みが、表示され、２件になります。
これをなくしたいのですが、どうすれば、良いでしょうか。

Comments

[39ff]

setTokenとcheckTokenが使われていないようですが

[tidavest]

どうすれば、使われますでしょうか。

[yoorwm]

↑のレスがよく分からなかったのですがひょっとして、使われないものがソースに入っている、という事が認識出来ていなかった、という事でしょうか？

[退会済みユーザー]

ちなみにそれを指摘した前質問は内容を削除してこの質問になります

[退会済みユーザー]

https://teratail.com/questions/113838

Answer 1

<?php

$dataFile = 'bbs.dat';

//CSRF対策
session_start();

function setToken() {
    $token = hash('sha256',session_id().time());
    $_SESSION['token'] = $token;
}

function checkToken($token) {
    $validate = $_SESSION['token'] === $token;
    if (empty($_SESSION['token']) || !$validate) {
        throw new \RuntimeException("不正な処理が行われました");
    }
}

function h($s) {
    return htmlspecialchars($s, ENT_QUOTES, 'UTF-8');
}

try {
    $message = filter_input(INPUT_POST, 'message');
    $user = filter_input(INPUT_POST, 'user');
    $token = filter_input(INPUT_POST, 'token');
    if (isset($message) && isset($user)) {
        checkToken($token);
        var_dump($message, $user);
        $user = ($user == '') ? 'ななしさん' : $user;
        $postedAt = date('Y-m-d H:i:s');
        $message = str_replace("\t", ' ', $message);
        $user = str_replace("\t", ' ', $user);

        $newData = $message . "\t" . $user . "\t" . $postedAt . PHP_EOL;
        $fp = fopen($dataFile, 'a+');
        fwrite($fp, $newData);
        fclose($fp);
    }
    setToken();

}catch (\RuntimeException $e){
    $errors[] = $e->getMessage();
}
$posts = file($dataFile, FILE_IGNORE_NEW_LINES);
$posts = array_reverse($posts);

?>
<?php if(!empty($errors)): ?>
    <ul>
        <?php foreach($errors as $error): ?>
            <li><?php echo h($error); ?></li>
        <?php endforeach; ?>
    </ul>
<?php endif; ?>
<form action="" method="post">
    <dl>
        <dd style="margin-bottom:5px"><B>User名</B></dd><textarea name="user" cols="10" rows="1"></textarea>
        <dd>
        <dt>○発言どうぞ</dt>
        <textarea name="message" cols="50" rows="5"></textarea>
        </dd>
    </dl>
    <div>
        <input type="submit" value="投稿する" />
        <input type="hidden" name="token" value="<?php echo $_SESSION['token'];?>">
        <input type="hidden" name="time" value="<?php echo time(); ?>">
    </div>
    <h3>投稿一覧　(<?php echo count($posts); ?>件)　</h3>

    <ul>
        <?php if (count($posts)) : ?>
            <?php foreach ($posts as $post) : ?>

                <?php list($message, $user, $postedAt) = explode("\t", $post); ?>
                <li><?php echo h($user); ?> <?php echo h($message); ?> <?php echo $postedAt; ?></li>

            <?php endforeach; ?>
        <?php else : ?>
            <li>まだ投稿がありません。</li>
        <?php endif; ?>
    </ul>

発言文のサニタイズ方法に問題があるように思います。が、それについては今回は触れないことにします
sqliteなどで管理すると良いと思います