PHPでURL直たたき対策の仕組みを作りたい

前提・実現したいこと

PHPで問い合わせフォームにURLの直たたき防止の機能を実装中です。
入力画面（contact.php）⇛確認画面(confirm.php)⇛完了画面(complete.php)という構造でこの順序でしかそれぞれの画面にアクセスできないようにしたいです。

現在confirm.phpにcontact.phpからでしかアクセスできませんというコードを下記のように作っておりますが、URL取得のコードをどのように書くべきかわかりません。
環境に応じた取得方法を記述するにはどのようにするべきでしょうか。

該当のソースコード

ソース// URL直たたき対策
$referer = $_SERVER["HTTP_REFERER"];
$url = 'https://3619dda849484d518eb5fda739e3e87d.vfs.cloud9.ap-northeast-1.amazonaws.com/contact_form/contact/contact.php';
if(!strstr($referer,$url)){
 die("正規の画面からアクセスしてください");
 exit;
}

CSFR対策コード


//POSTされたデータをチェック
$_POST = checkInput( $_POST );
//固定トークンを確認（CSRF対策）
if ( isset( $_POST[ 'ticket' ], $_SESSION[ 'ticket' ] ) ) {
  $ticket = $_POST[ 'ticket' ];
  if ( $ticket !== $_SESSION[ 'ticket' ] ) {
    //トークンが一致しない場合は処理を中止
    die( 'Access Denied!' );
  }
} else {
  //トークンが存在しない場合は処理を中止（直接このページにアクセスするとエラーになる）
  die( 'Access Denied（直接このページにはアクセスできません）' );
}

補足情報（FW/ツールのバージョンなど）

AWS Cloud9
PHP 5.6.40

行動規範の内容に同意します

回答2件

ベストアンサー

リファラーは偽装可能であったり、ブラウザの設定で送信が無効化されたりするものなのでごく簡易的なチェックにしかなりません。
(特に、悪意を持って問い合わせを直POSTするようなケースにはほぼ効果がありません。）

かつ、おそらく多重POST等も防止する必要があるでしょうから
リファラーでチェックするのではなく
多重POST防止やCSRF対策として用いられるようなセッションとワンタイムトークンを使用して順番通りにアクセスであることを担保することをお勧めします。

具体的な実装はPHP CSRF対策あたりで調べてみてください。

個人的には、フレームワークを使わない場合だと
EasyCSRF
を使って実装するのが楽だった覚えがあります。

投稿2020/04/03 02:58

編集2020/04/03 03:22

tanat

総合スコア18713

takuo5

2020/04/03 04:43

上記にCSRF対策コード追加しましたのでご参照ください。このコードでは最終的に”直接このページにはアクセスできません”というメッセージが出るようになっていますが、contact.phpのページにリダイレクトするようにしたいです。そうするにはheader('Location: リダイレクト先のURL') を追加すればできると思うのですが、 URLを特定のURLをいれるのではなく環境に応じたものが入るようにしたいのですがどのように書けばよいでしょうか？例：header('Location: https://3619dda849484d518eb5fda739e3e87d.vfs.cloud9.ap-northeast-1.amazonaws.com/contact_form/contact/contact.php') としてしまうと上記のわたしのAWSで動かしている環境でしかアクセスできないので、他の動作環境からでも対応できるようにしたいです。

tanat

2020/04/03 05:05

HTTPヘッダのLocationに関する仕様ですね。 https://teratail.com/questions/210809 が参考になるかと思います。最近のクライアントなら、 /contact_form/contact/contact.php 部分だけ書けば行けると思います。（確認してみてください）どうしてもhttps://から書きたいなら $_SERVER['HTTP_HOST']にPHPが動いているドメインが格納されているので、 "https://".$_SERVER['HTTP_HOST']."/contact_form/contact/contact.php"みたいな感じで文字列連結すればPHPが動いている環境にあった形になります。 https://www.php.net/manual/ja/reserved.variables.server.php を参照してみてください。

takuo5

2020/04/03 05:22

ありがとうございます。ご提案いただいた通り/contact_form/contact/contact.phpだけで入力フォームにリダイレクトすることができました。また、いろいろと記事など調べていただきありがとうございます。いただいたURLも確認して今後に活用させていただきます。

行動規範の内容に同意します