Comment envoyer des requêtes AJAX sécurisées avec PHP et jQuery

1. Cochez L'en-tête D'origine

spécifié par OWASP, ce n'est pas assez, mais recommandé :

bien qu'il soit trivial de mystifier un en-tête de votre propre navigateur, il est généralement impossible de le faire dans une attaque CSRF, sauf via une vulnérabilité XSS. C'est pourquoi vérifier les en-têtes est un premier pas raisonnable dans votre défense CSRF, mais comme ils ne sont pas toujours présents, son généralement pas considéré comme une défense suffisante sur son propre.

Et Mozilla:

L'en-tête Origin est considéré comme utile contre le vol de données JSON et les attaques CSRF. Les informations fournies par Origin--un peu d'informations contextuelles sur la création de requêtes--devraient fournir des conseils aux serveurs Web sur la fiabilité des requêtes [...]

vérification de la HTTP_ORIGIN en-tête peut être écrite comme :

header('Content-Type: application/json');

if (isset($_SERVER['HTTP_ORIGIN'])) {
    $address = 'http://' . $_SERVER['SERVER_NAME'];
    if (strpos($address, $_SERVER['HTTP_ORIGIN']) !== 0) {
        exit(json_encode([
            'error' => 'Invalid Origin header: ' . $_SERVER['HTTP_ORIGIN']
        ]));
    }
} else {
    exit(json_encode(['error' => 'No Origin header']));
}

1. (bis) Vérifier le REFERER l'en-tête

from OWASP:

si L'en-tête Origin n'est pas présent, vérifiez que le nom d'hôte dans l'en-tête Referer correspond à l'origine du site. La vérification du referer est une méthode couramment utilisée pour empêcher le CSRF sur les périphériques réseau intégrés car elle ne nécessite pas d'état par utilisateur.. Cette méthode d'atténuation CSRF est aussi couramment utilisée pour les demandes non authentifiées [...]

vérification de la HTTP_REFERER est aussi assez simple en PHP avec $_SERVER['HTTP_REFERER'], vous pouvez simplement mettre à jour le code ci-dessus avec elle.

BE CAREFUL avec la vérification qui a toujours besoin d'être très précis : ne pas cocher juste example.com ou api.example.com mais le plein https://example.com. Pourquoi ? Parce que vous pourriez falsifier ce chèque avec une origine comme api.example.com.hacker.com.

2. Générer des tokens CSRF

bien expliqué réponse spécifique à PHP a été donné il y a en bref :

1. Générer le jeton :

   session_start();
   if (empty($_SESSION['csrf_token'])) {
       $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
   }
   

2. l'Ajouter dans votre "vues" par l'intermédiaire d'un méta (comme Github) :

   <meta name="csrf-token" content="<?= $_SESSION['csrf_token'] ?>">
   

3. configurer les appels ajax de jQuery pour inclure ce token :

   $.ajaxSetup({
       headers : {
           'CsrfToken': $('meta[name="csrf-token"]').attr('content')
       }
   });
   

4. côté serveur vérifiez vos requêtes AJAX:

   session_start();
   if (empty($_SESSION['csrf_token'])) {
       $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
   }
   
   header('Content-Type: application/json');
   
   $headers = apache_request_headers();
   if (isset($headers['CsrfToken'])) {
       if ($headers['CsrfToken'] !== $_SESSION['csrf_token']) {
           exit(json_encode(['error' => 'Wrong CSRF token.']));
       }
   } else {
       exit(json_encode(['error' => 'No CSRF token.']));
   }
   

la plupart des cadres PHP ont leur propre implémentation CSRF, qui repose plus ou moins sur le même principe.

3. Désinfecter valider les entrées de l'utilisateur.

Vous devez filtre espace des entrées et valider .

4. Protégez votre serveur

• limitez le nombre de vos requêtes.
• utilisez https autant que possible.
• Block bad queries.
• Protéger les requêtes POST.

5. Ne jamais faire confiance à l'utilisateur

comme @blue112 l'a dit, c'est l'un des plus élémentaires principes de sécurité.