Utilisation et manipulation des tokens de formulaire PHP

il n'y a pas besoin de faire ce que vous tentez. Lorsque vous démarrez une session en PHP avec session_start (), un SESSIONID unique est déjà généré pour vous. Vous devez vous mettre cela sur le formulaire. Il est géré par l'intermédiaire de cookies par défaut. Il n'est pas non plus nécessaire de vérifier le SESSIONID, qui est à nouveau géré pour vous.

Vous êtes responsable de l'authentification de l'utilisateur et du stockage de son identité authentifiée (par exemple $_SESSION ['user_id'] = $userId dans le SESSION. Si un utilisateur se déconnecte vous détruire leur session avec session_destroy.

vous devez vous assurer que session_start () est l'un des premier choses pour toutes les pages de votre site.

Voici un exemple de base:

<?php
session_start(); // starts new or resumes existing session
session_regenerate_id(true); // regenerates SESSIONID to prevent hijacking

function login($username, $password)
{
    $user = new User();
    if ($user->login($username, $password)) {
        $_SESSION['user_id'] = $user->getId();
        return true;
    }
    return false;
}

function logout()
{
    session_destroy();
}

function isLoggedIn()
{
    return isset($_SESSION['user_id']);
}

function generateFormHash($salt)
{
    $hash = md5(mt_rand(1,1000000) . $salt);
    $_SESSION['csrf_hash'] = $hash
    return $hash;
}

function isValidFormHash($hash)
{
    return $_SESSION['csrf_hash'] === $hash;
}

Edit: j'ai mal compris la question d'origine. J'ai ajouté la pertinence des méthodes ci-dessus pour la génération et la validation de formulaire de hachages;

consultez les ressources suivantes:

• session PHP Manipulation
• session_start ()
• session_destroy ()