nonce4php
1.0.0
CSRF およびリプレイ攻撃の防止に役立つ nonce マネージャー PHP ライブラリ。
nonce が防止しようとする脆弱性について説明した記事やビデオがいくつか見つかるかもしれません。
ただし、多くの PHP nonce ライブラリは制限が多すぎて、いくつかのフレームワークと組み合わされていて、使いにくいか、その仕組みを理解するのが難しいようです。
pedroac/nonceこれらの問題を解決しようとします。
これにより、任意の PSR-16 実装を選択して、ノンス、ノンス値ジェネレーター、有効期限間隔、さらにはクロック システムをオーバーライドするDateTimeプロバイダーを一時的に保存することができます (この機能は単体テストに使用されます)。
また、入力の管理、ランダムなノンス名と値の生成、送信されたトークンのノンスに対する検証、HTML 要素の生成を行うためのヘルパーも提供します。
次のコマンドを実行します。
composer require pedroac/nonce
HTML フォームは、PHP 組み込み Web サーバーを使用してテストできます。
php/examplesフォルダーから次のコマンドを実行します。
php -S localhost:8000ブラウザで URL http://localhost:8000/ を使用します。
<?php
require __DIR__ . ' /../vendor/autoload.php ' ;
use Symfony Component Cache Simple FilesystemCache ;
use pedroac nonce NoncesManager ;
use pedroac nonce Form HtmlNonceField ;
use pedroac nonce Form NonceForm ;
// this handles automatically the input and nonce management
$ form = new NonceForm (
' token ' , // the HTML input name
new NoncesManager (
new FilesystemCache // a PsrSimpleCacheCacheInterface implementation
)
);
// this will be used to generate a HTML input element
$ htmlField = new HtmlNonceField ( $ form ); if ( $ form -> isSubmittedValid ()) {
/**
* handle the success:
* - if all form input is valid, show success page;
* - otherwise, show an error page and the form again;
*/
} if ( $ form -> isSubmittedInvalid ()) {
/**
* handle failure:
* - don't show the form again;
* - show an error message;
*/
}<form method=" POST ">
<?= $ htmlField ?>
<!-- more HTML -->
<input type="submit" name="myform" value="Submit" />
</form> nonce は、トークンがNonceFormクラスで検証されると自動的に期限切れになります。
<?php
require __DIR__ . ' /../vendor/autoload.php ' ;
use Symfony Component Cache Simple FilesystemCache ;
use pedroac nonce NoncesManager ;
$ manager = new NoncesManager ( new FilesystemCache ); $ isValidToken = false ;
$ isValidForm = false ;
$ wasSubmitted = filter_has_var ( INPUT_POST , ' myform ' );
$ tokenName = filter_input ( INPUT_POST , ' token_name ' );
$ tokenValue = filter_input ( INPUT_POST , ' token_value ' ) ?? '' ;
if ( $ tokenName ) {
$ isValidToken = $ manager -> verifyAndExpire ( $ tokenName , $ tokenValue );
}
if ( $ wasSubmitted && $ isValidToken ) {
// validate input
} if (! $ wasSubmitted || (! $ isValidForm && $ isValidToken )) {
$ nonce = $ manager -> create ();
} <?php if ( $ nonce ) : ?>
<input type="hidden"
name="token_name"
value=" <?= htmlspecialchars ( $ nonce -> getName ()) ?> " />
<input type="hidden"
name="token_value"
value=" <?= htmlspecialchars ( $ nonce -> getValue ()) ?> " />
<input type="submit" name="myform" value="Submit" />
<?php endif ; >nonce キャッシュ ストレージに加えて、ランダム nonce 値ジェネレーターと有効期限間隔を選択することができます。
<?php
require __DIR__ . ' /../vendor/autoload.php ' ;
use Symfony Component Cache Simple ArrayCache ;
use pedroac nonce NoncesManager ;
use pedroac nonce Random HexRandomizer ;
$ manager = new NoncesManager (
new ArrayCache ( 60 ),
new HexRandomizer ( 32 ), // a pedroacnonceRandom implementation
new DateInterval ( ' PT3H ' )
);指定した名前で nonce を作成することもできます。
$ user_id = $ _SESSION [ ' user_id ' ];
$ tokenName = "{ $ user_id } _form " ;
$ nonce = $ manager -> create ( $ tokenName ); NonceFormデフォルトの入力ソースは $_POST ですが、任意の配列入力を受け入れます。
$ form = new NonceForm (
' token ' ,
new NoncesManager (
new FilesystemCache
),
filter_input_array ( INPUT_GET ) // use $_GET
);ライブラリのルート フォルダーから実行します。
php/vendor/bin/phpunit php/tests/ -c php/tests/configuration.xml
テストが成功した場合は、 php/tests/coverage-htmlにコード カバレッジ レポートが含まれているはずです。
ライブラリのルート フォルダーから実行します。
sh scripts/generate-docs.sh
生成されたドキュメントはフォルダーdocs内にある必要があります。
バージョン管理には SemVer を使用する必要があります。
pedroac/nonce は MIT パブリック ライセンスに基づいてリリースされています。
詳細については同封のライセンスを参照してください。
このライブラリは、Stackoverflow ユーザーによって作成されたプライベート リクエスト応答として開発されました。
