CSRF対策：POSTでtokenを送信し、filter_input に入れると消えてしまう

前提・実現したいこと

CSRF対策にトークンを使おうと考えています。
POSTでtokenを送信し、filter_input に入れると消えてしまうのですが、どのように書き換えれば、POSTとSESSIONのtokenがいっちするようになるのでしょうか。

該当のソースコード

token1.php

<?php

session_start();



//tokenを用意
if(!isset($_SESSION['token'])) {
   $_SESSION['token'] = uniqid('', true);
   echo '$_SESSION token'."<br />". $_SESSION['token'];
}

// トークンを代入
$token = $_SESSION['token'];
echo '$token'."<br />".$token
?>

<!DOCTYPE html>
<html>
<head>
</head>

<body>
<form action= 'token2.php' method = post>

<input type="hidden" name="token" value="<?php echo $token; ?>">
<input type="submit" value="送信する">

</form>
</body>
</html>

token2.php

<?php
session_start();

//post token の受け取り
$token = filter_input(INPUT_POST, $_POST['token']);
echo '$token'."<br />".$token;
echo "<br />";

//session token と post token が一致しているかの確認
if ($token === $_SESSION['token']) {

//一致の表示

    echo 'token が一致しました。';
}

else{
//不一致の表示
    echo 'token が不一致です。';
}

発生している問題・エラーメッセージ

token1.phpの結果

$token
//tokenの表示

token2.phpの結果

$token
token が不一致です。

行動規範の内容に同意します

回答2件

ベストアンサー

使い方が間違ってます。

filter_input

投稿2020/04/20 03:09

退会済みユーザー

総合スコア0

退会済みユーザー

2020/04/20 03:11

token の作り方も暗号学的に安全ではありません。

wakita_minaho

2020/04/20 04:53

上記のURLを読んで考えた結果です。実際、うまくいっていないところを見ると、間違った考えだと思うのですが、具体的に誤っているところが分かりません。もう少し詳しく教えていただけますでしょうか。基本の型は、filter_input(送信方法, filterをかけたい値[,フィルタ])で、フィルタがない場合は、デフォルトのフィルターがかかる。さらに、オプションもつけてない場合、何もフィルタがかからないことになるという理解であっておりますか。でしたら、token2.phpの$tokenにはPOST['token']が入っているのではないかと考えています。また、tokenの作り方についてですが、opensslを理解していないので、とりあえずの値としてuniquidとしております。

退会済みユーザー

2020/04/20 07:14

デバッグの初手は、「変数に何が入っているか確認」することです。初学者でもデバッグ環境を作ることをおすすめしますが、適当に出力してしまって確認しても良いです。 $token に何が入っているか？を確認した後、 filter_input(INPUT_POST, $_POST['token']) が意図した内容になっているか確認すると良いです。マニュアルのサンプルも気がつくための参考になると思います。 > tokenの作り方についてですが、opensslを理解していないので、とりあえずの値としてuniquidとしております。 token の作り方は名言をリンクしておきます。 https://twitter.com/ockeghem/status/1215069575210946561 よほどのことがない限り、うるさい人々を黙らせることができます！

wakita_minaho

2020/04/22 03:23

filter_input(INPUT_POST, 'token') でPOSTしたtokenをそのまま持ってくることができるのですね！理解しました。ありがとうございます。デバッグ環境あると1つずつ値の確認ができてやりやすかったです。URLの方も読みました。ありがとうございます。

行動規範の内容に同意します