![](http://oshiete.xgoo.jp/images/v2/pc/qa/question_title.png?e8efa67)
https://qiita.com/Naughty1029/items/08b0ddeb8054 …
で紹介されている。register.phpで$_POST['token']と$_SESSION['token']が一致しなくて、エラーになるのですが、そもそもpostとsessionのtokenがどうすれば一致し、なぜ一致していないのかよく分かりません。サイトのコーディングは他の方は機能していますか?新規登録なので、一致しなくていいものなのでは?とも思えるのですが、アドバイスやコーディングの間違え等があるならば、教えていただきたいです。よろしくお願いいたします。
No.3ベストアンサー
- 回答日時:
スマホからの都合上、Postはポスト、Sessionはセッションとします。
セッション変数は、ユーザーがあなたのWebサーバーにアクセスした時に作成され、ブラウザを閉じるなどの何らかの操作をするまで変数の値が保持される特別な変数です。
ポスト変数はユーザーがPostでsubmitした情報がPHPの処理により代入される変数です。
どちらもある操作によって変数の値が決まります。
session_startをした時から入っているように見えたのなら、あなたがそのウェブサイトにアクセスし、別の処理により、セッション変数への代入が行われたので、その内容をセッション変数が保持しているに過ぎません。
非技術者にとって学習難易度が高いかもしれませんが、Laravelのようなフレームワークを使えばここら辺のセキュリティ機能を簡単に実装出来ます(でも、環境構築とか、やり方分からないか。。。)
No.4
- 回答日時:
ご質問の処理は、安全なウェブサイトを作るうえで必要な
CSRF 脆弱性の対策です。
安全なウェブサイトの作り方 - 1.6 CSRF
https://www.ipa.go.jp/security/vuln/websecurity/ …
根本的解決 6-(i)-a 処理を実行するページをPOSTメソッドでアクセスするようにし、その「hiddenパラメータ」に秘密情報が挿入されるよう、前のページを自動生成して、実行ページではその値が正しい場合のみ処理を実行する。
一致するとは、
「入力画面を表示して、フォーム内容を記載し、投稿ボタンを押す」
という想定どおりの流れを経た POST 送信である、ということです。
一致しないとは、
想定通りの流れでない不正な POST 送信ということです。
具体的な例を二つほど上げます。
例1) ブラウザ操作ミス
ブラウザ履歴をたどり、登録後画面を再表示してしまった
→ 表示するために再度 POST 送信を送った
→ POST 内に含まれる token が古いままなので SESSION と一致しない
→ エラー発生し登録失敗
例2) 悪意ある攻撃
攻撃者の用意した罠サイト or メールで、ボタンを押してしまった
→ 異常な登録を行う POST 送信がウェブサイトに送られた
→ POST 内に含まれる token が無い or 適当な値なので SESSION と一致しない
→ エラー発生し登録失敗
No.2
- 回答日時:
htmlspecialcharsでエンコードしているのでデコードをするか、セッションの方と同じくエンコードしてから比較する必要があるかもしれません。
いつも回答ありがとうございます。
本職の技術者でないため、詳しく教えて欲しいです。いずれの自身の会社のホームページの作成で奮闘しています。セキュリティもある程度あるログイン機能が欲しいのです。
何とかvscodeを使用してデバッグは行うのですが、
このプログラムをブラウザで開き、入力画面にデータを入れてsubmitしてデバッグを開始すると、プログラムの頭でも、既に$_POSTのtokenにデータが入っているのですが、自動生成されたものなのでしょうか?$_SESSIONはsession_start()でからデータが入っており、値は自動生成のように思えるので、値は違って当然なのでは?という疑問が拭えません。
No.1
- 回答日時:
URLを全て見ているとキリがないですが、
文章から察するに、作成したトークンをセッションに保持し、画面表示時に隠しデータとしてユーザーに送ります。この時サーバーはセッションを保持しますから、ユーザーがsubmitボタンを押した際に、この一致をチェックすることで、悪意のあるなりすまし攻撃を防ぐという、バリデーションと思います。
ただのセキュリティの都合ですから、学習用途で入れる必要はありません。
一致しないと端的に言っても例えば、セッションとポストデ渡ってくる値を出力して見比べるとか、どの段階でその変数にその値が入るのかをチェックするなど、
技術者なのであれば、そのデバッグ行為はご自身で行ってください。
以下蛇足
うちの職場にもデバッグ行為をせずにブラックボックステストの手順と結果だけを報告してくる無能の先輩が居ます。
こういう奴は生産性を落とす害悪でしかありません。技術者なら自分で調査できるはずですし、自分と同じか、それ以上の給料を貰ってるなら、それ分の働きはして欲しいものでふ。
お探しのQ&Aが見つからない時は、教えて!gooで質問しましょう!
似たような質問が見つかりました
- その他(ネットショッピング・通販・ECサイト) JRE POINTサイトがスイカ登録するとエラー500が連発して登録出来ません。 1 2022/09/11 19:22
- PHP 「ログイン機能を持たせる」説明が気難しいです。 2 2022/10/11 02:59
- PHP WordpressのPHPを安全に編集する方法 1 2022/08/04 01:43
- PHP htmlのエラーについて(デバッグ) 1 2023/11/13 20:54
- PHP $_SESSIONに渡した後はそのまま使っても問題ありませんか? 3 2022/11/08 22:17
- その他(IT・Webサービス) この教えてgoo!のプロフィール画像とプロフィールがエラーになって登録できません。 1 2024/06/28 16:09
- ハッキング・フィッシング詐欺 この手のものは初めてなのでどうすればいいのか分かりません 4 2024/01/16 02:24
- その他(Microsoft Office) 同じ番号に並び替え 1 2022/10/21 22:37
- 知的財産権 商標登録について ある物を販売するとします。その商品に付けた名前が、他の誰かが商標登録されたものとし 7 2022/10/09 15:34
- iPhone(アイフォーン) iPhone/iPadの標準メールアプリでのアカウント新規登録について pop/imap選択 1 2023/06/22 08:00
このQ&Aを見た人はこんなQ&Aも見ています
-
性格の違いは生まれた順番で決まる?長男長女・中間子・末っ子・一人っ子の性格の傾向
同じ環境で生まれ育っても、生まれ順で性格は違うものなのだろうか。家庭教育研究家の田宮由美さんに教えてもらった。
-
プログラミング言語の制作方法について
C言語・C++・C#
-
なんでブラウザでPHPを動かすためだけにOSにPython2(Python3)を入れて、C(GCC)
PHP
-
PHPとHTML+Xamppの掲示板で画像も投稿できるように
PHP
-
-
4
プログラミング言語で、使えるクラス沢山ありますが、以下のようなクラスってなんて名前ですか? 例えば1
PHP
-
5
情報の表現。()内がどうしてもわかりません。
Ruby
-
6
Pythonのコードエラーについてです。
その他(プログラミング・Web制作)
-
7
php配列のキーの二重定義 $a['zero'],$a['iti']と$a[0],$a[1]とが同等
PHP
-
8
index.phpって何ですか? 具体的に教えてください
PHP
-
9
プログラミング
その他(プログラミング・Web制作)
-
10
phpでPEAR::DBを使っているのですがPEAR::DB関連の処理を関数化して使い易くしようと思
PHP
-
11
PHPでこのコード自体に意味は無いんですけど、上のifと下のifの違いってなんですか?個人的には下の
PHP
-
12
AIの登場でプログラマーたちが解雇されていますが
その他(プログラミング・Web制作)
-
13
c言語
C言語・C++・C#
-
14
phpに関わる所での、form action=パス"について"
PHP
-
15
小学1年生の子です。塾に行かせるのは難しいので、自宅で学べたらと思うのですが、子供にプログラミングを
その他(プログラミング・Web制作)
-
16
楽しくて最高のプログラミング言語を作りたいのですが、そもそもプログラミング言語を作る意味なんてないと
その他(プログラミング・Web制作)
-
17
javaScriptのコードの修正をお願いします。
JavaScript
-
18
オブジェクト指向プログラミングにおいて Aというクラスと Bというプロパティ(ゲッターとセッターはこ
その他(プログラミング・Web制作)
-
19
mod でうまく
AJAX
-
20
C#でログファイルにファイルパスが出ないようにしたい
C言語・C++・C#
関連するカテゴリからQ&Aを探す
おすすめ情報
このQ&Aを見た人がよく見るQ&A
デイリーランキングこのカテゴリの人気デイリーQ&Aランキング
-
bindValueエラー
-
「@$変数」の「@の意味は?」
-
フォントの色を変えるには?
-
ワードプレスサイト PHP8.0.25...
-
PHPでfatal errorが出ても無視...
-
Localeクラスについて
-
phpのエラー(T_LNUMBER)について
-
phpの imap_search で漢字コード
-
502 Bad Gatewayの解決方法
-
トランザクションが原因?DBに...
-
PHPでOut of memoryのエラー解...
-
fsockopenの例外について
-
現在進行形で、参考書を見なが...
-
PHPのFatal errorについて
-
PHP8を使うと、大量のWarningが...
-
onedrive にexcelファイルをア...
-
別ファイルの変数を呼び出した...
-
PHPの設定で、 エラーが発生し...
-
【PHP】declare命令で”Fatal er...
-
.phpと.incファイルの違いはな...
マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング
-
フォントの色を変えるには?
-
パースエラーとは?
-
トランザクションが原因?DBに...
-
PHP8を使うと、大量のWarningが...
-
「@$変数」の「@の意味は?」
-
PHPで、エラーがない場合のみ画...
-
SELECTの値を保持する
-
PHPでfatal errorが出ても無視...
-
正規表現での最後尾のバックス...
-
PHPで特定のURLにジャンプす...
-
PHPでネットワークドライブのop...
-
これは例外処理でしょうか?
-
ワードプレスサイト PHP8.0.25...
-
PHPにて外部サイト内容が取得不...
-
メールアドレスが存在するか確...
-
phpのrenameでエラーが出ます
-
urlの直接入力を防ぐには
-
Localeクラスについて
-
phpでget_headers()が使えない?
-
bindValueエラー
おすすめ情報