PHPでのトークンの仕込むことによって、CSRF攻撃を防御することについて

Question

###質問内容
macのVScodeで$_SESSION["token"]を利用した簡単な掲示板をドットインストールの動画をお手本に作っています。
テーマが
「トークンの仕込むことによって、CSRF攻撃を防御する」
とのことなのですが、上手くいきません。

＜編集部分＞
初期画面はこのようになっており

Postボタンでレスlt。php画面に行くとこのようになり

Go backボタンで文字が保存されるといった感じになっています。

//////////

コードを何度も見比べたのですが、間違っている場所がわかりません。
フォルダ、ファイルは下のような感じです。

自分で試してみたところ
"../app/functions.php"ファイルを少しいじってみると
if分の条件となっている場所について、
empty($_SESSION["token"]) || $_SESSION["token"] !== filter_input(INPUT_POST, "token")
の場合はどんな値でも、全て
validateToken()のexit("Invalid post request")によるInvalid post requestが下のように表示されてしまいますが

条件部分を　empty($_SESSION["token"])のみに変えてみると
上手く機能することから
$_SESSION["token"] !== filter_input(INPUT_POST, "token")
の部分が間違っているのだと思います。
さらに"../app/index.php"をブラウザにあげた初期画面について検証してみると

のドラッグ部分にあるように
編集前：value
編集後：index.phpの５行目辺り、createToken()

が上手く機能してることも考えると条件部分の
filter_input(INPUT_POST, "token")が上手く前のindex.phpファイルからデータを所得していない？のかと思います
ただそうだとしても間違っている箇所は分かりませんでした。よろしくお願いします。
下に自分のコードとドットインストールのコード比較機能画面を載せておきたいと思います。

###自分のコード
INDEX.PHP

 <?php
  require("../app/functions.php");
  createToken();
  define("FILENAME","../app/messages.txt");

  if($_SERVER["REQUEST_METHOD"] === "POST"){
    validateToken();
    $message = trim(filter_input(INPUT_POST, "message"));
    $message = $message !== "" ? $message : "...";
    $fp = fopen(FILENAME, "a");
    fwrite($fp,$message."\n" );
    fclose($fp);

    header("Location: http://localhost:8080/result.php");
    exit;
}
  $messages = file(FILENAME, FILE_IGNORE_NEW_LINES);
  include("../app/_parts/_header.php");
?>

<ul>
  <?php foreach($messages as $message): ?>
  <li><?= h($message); ?> </li>
  <?php endforeach; ?>
</ul>

<form action="" method="post">
  <input type="text" name="message">
  <button>Post</button>
  <input type="hidden" name="token" value="<?= h($_SESSION["token"]); ?> ">
</form>


<?php

include("../app/_parts/_footer.php");
コード

functions.php

<?php


    function h($str){
        return htmlspecialchars($str, ENT_QUOTES,"UTF-8");
    }

    function createToken(){
        if(!isset($_SESSION["token"])){
            $_SESSION["token"] = bin2hex(random_bytes(32));
        }
    }

    function validateToken(){
        if(
            empty($_SESSION["token"])  || $_SESSION["token"] !== filter_input(INPUT_POST, "token")
        ){
            exit("Invalid post request");
        }
    }

    session_start();
コード

<?php
  require("../app/functions.php");


  include("../app/_parts/_header.php");
?>
<p>Message added!</p>
<p><a href="index.php">Go back</a></p>

<?php

include("../app/_parts/_footer.php");
コード

###dottoinstallとのコード比較写真

下はresult.php

###解決方法、追記
あまり慣れない作業なので時間結構かかりましたが、分かりました笑
結論から言うと
<input type="hidden" name="token" value="<?= h($_SESSION["token"]); ?> ">
の?> ">の部分を?>"> （空白をなくす）ことで解決しました。つまり
<input type="hidden" name="token" value="<?= h($_SESSION["token"]); ?> ">
<input type="hidden" name="token" value="<?= h($_SESSION["token"]); ?>">（最後のみ変化）
をすることで上手く機能します。
あまり良くない記述ですが
value="<?= h($_SESSION["token"]); ?>"
のようにダブルクォーテーションを連続で使ったとしても、一様機能的には問題ありませんでした
尚、今回の場合はドットインストールの比較対象と自分の間違いコードを入れたり外したり、繋いだりすることでデバック（？）をやっていきました

Answer 1

勘やお手本との比較だけでデバッグするのには限界があるので
PHP デバッグ 方法
あたりで検索して、デバッグ方法を知り、デバッグしてみるのが良いかと思いますよ。
出来れば
VSCode xdebug ブレークポイントで調べて環境を構築し、PHPを途中で止めてその時点での変数の状態を確認出来るようにすることをお勧めします。

また、お手本との比較で

• シングルクォートとダブルクォートが違っていたり（両者には機能上の差があります）
• ファイルの先頭にコメント（スクリーンショット用に付け加えたものだと思いますが、動作させる場合には問題になります。）

などの差異があり、第三者からみてお手本と同じとは判断できない状態です。

原因解明の流れ

今回のケースだと、まずはvalidate()の判定部分の直前で$_POSTと$_SESSIONの中身を確認し、それぞれ想定通りの内容になっているか確認してみて下さい。(var_dump()でのデバッグはセッションやcookieの動作に影響が出るので、あまりお勧めはしませんが、手軽に確認することが可能です)
どちらかが想定通りになっていないはずなので、それぞれの値を作成している処理のところに遡って確認という感じで確認を進めると良いかと思います。

    function validateToken(){
        var_dump($_SESSION);
        var_dump($_POST);

        if(
            empty($_SESSION["token"])  || $_SESSION["token"] !== filter_input(INPUT_POST, "token")
        ){
            exit("Invalid post request");
        }
    }

また、前述の通り、完全にお手本通りのファイルになっていないので、

1. 全ファイルをお手本からコピーして動作確認
2. 1ファイルだけ書き換えて動作確認
3. 問題が無ければ1に戻って次のファイルを書き換えて動作確認

という感じで、問題が発生しているファイルを特定するのも、今回のケースでは有効に思います。

Comments

[Maruco2321]

回答有難うございます。上記のデバックの方法などのいずれかで解決することはとりあえずできそうなので試してみたいと思います。

[tanat]

見通しが立って良かったです。
解決したフィードバックを頂けると嬉しいです

[Maruco2321]

あまり慣れない作業なので時間結構かかりましたが、分かりました笑
結論から言うと
<input type="hidden" name="token" value="<?= h($_SESSION["token"]); ?> ">
の?> ">の部分を?>"> （空白をなくす）ことで解決しました。つまり
<input type="hidden" name="token" value="<?= h($_SESSION["token"]); ?> ">
<input type="hidden" name="token" value="<?= h($_SESSION["token"]); ?>">（最後から約３文字目のみ変化）
をすることで上手く機能します。
あまり良くない記述ですが
value="<?= h($_SESSION["token"]); ?>"
のようにダブルクォーテーションを連続で使ったとしても、一様機能的には問題ありませんでした
デバックの方はもう少し時間をかけて物にしていきたいと思います。有難うございました????‍♂️

[tanat]

フィードバックありがとうございます。
確かに、スペースが入っていると値が変わりますね。
原因が分かってよかったです。

ダブルクォートについては、value="<?= h($_SESSION["token"]); ?>"のようなケースでは特に問題無いかなと思います。（<?= で区切られているので問題が起きません）
シングルクォートとダブルクォートの挙動の違いは
https://www.php.net/manual/ja/language.types.string.php
https://teratail.com/questions/127209
あたりが参考になるかと思います。

Answer 2

ちょっと質問の意図がわかりかねますが
$_SESSION["token"]と$_POST["token"]を比較するということは
初期状態では$_SESSION["token"]が空でしょうからマッチすることはないと思いますが・・・
別ページであらかじめセッションのトークンを埋め込んでおくのでしょうか？

sample

<?PHP
session_start();
$_SESSION["token"]="hoge";//他のページから来てもOK
if(!empty($_SESSION["token"]) and  $_SESSION["token"] === filter_input(INPUT_POST, "token")){
print "ok";
};
?>
<form method="post">
<input type="text" name="token" value="<?=htmlspecialchars($_SESSION["token"])?>">
<input type="submit" value="send">
</form>

Comments

[Maruco2321]

質問有難うございます。index.phpの３行目辺りのcreateToken()のアクションによってfunctions.phpのアクションを呼び出し、初期画面（index.php）を呼び出した際に自動で＄_SSESION["token"]が作られるようにしています。それが機能しているため上の３枚目の写真でvalueが１６進数の文字で書かれているといった感じになっています。

[yambejp]

つまりワンタイムパスワードがセッションに保持されるとともにformのパラメータにも渡るということでよろしいですか？
であれば、セッションとpostの比較で行けると思いますが・・・

[Maruco2321]

CSRF攻撃を防御することはできるのですが例えば「たまご」とポストで送ったとしても現状
Invalid post request の文字が表示されてしまいます。