Comment envoyer sécuriser les requêtes AJAX avec PHP et jQuery

1. Vérifier l'en-tête d'ORIGINE

Comme spécifié par l'OWASP, ce n'est pas assez, mais recommandé :

Bien que c'est facile de falsifier tout en-tête de votre propre navigateur, il est généralement impossible de le faire dans une attaque CSRF, sauf par l'intermédiaire d'une vulnérabilité XSS. C'est pourquoi la vérification des en-têtes est raisonnable, première étape dans votre CSRF de la défense, mais comme ils ne sont pas toujours présent, il est en général pas considérée comme suffisante de la défense sur son propre.

Et par Mozilla :

L'en-tête d'Origine est considéré comme efficace contre le vol de données JSON et les attaques de type CSRF. Les informations fournies par Origine-un peu d'une demande de création de l'information--devrait fournir des conseils sur des serveurs web au sujet de la fiabilité de demandes [...]

La vérification de la HTTP_ORIGIN en-tête peut être écrite comme :

header('Content-Type: application/json');

if (isset($_SERVER['HTTP_ORIGIN'])) {
    $address = 'http://' . $_SERVER['SERVER_NAME'];
    if (strpos($address, $_SERVER['HTTP_ORIGIN']) !== 0) {
        exit(json_encode([
            'error' => 'Invalid Origin header: ' . $_SERVER['HTTP_ORIGIN']
        ]));
    }
} else {
    exit(json_encode(['error' => 'No Origin header']));
}

1. (bis) Vérifier l'en-tête REFERER

Nouveau à partir de l'OWASP :

Si l'en-tête d'Origine n'est pas présent, vérifiez que le nom d'hôte dans l'en-tête Referer correspond au site d'origine. La vérification de la referer est une méthode couramment utilisée pour la prévention des CSRF sur les périphériques réseau, car il ne nécessite pas de l'état par utilisateur.. Cette méthode de CSRF atténuation est aussi couramment utilisé avec les requêtes authentifiées [...]

La vérification de la HTTP_REFERER est également très simple en PHP avec $_SERVER['HTTP_REFERER'], vous pouvez simplement mettre à jour le code ci-dessus avec elle.

---

ÊTRE PRUDENT avec la vérification qui a toujours besoin d'être très précis : ne pas cocher juste example.com ou api.example.com mais l'ensemble de la https://example.com. Pourquoi ? Parce que vous pourrait usurper cette case à l'origine comme api.example.com.hacker.com.

---

2. Générer des jetons CSRF

Bien expliquées réponse spécifique à PHP a été donné il y, en bref :

1. Générer le jeton :

   session_start();
   if (empty($_SESSION['csrf_token'])) {
       $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
   }

2. L'ajouter dans votre "vues" par l'intermédiaire d'un méta (comme Github) :

   <meta name="csrf-token" content="<?= $_SESSION['csrf_token'] ?>">

3. Installation de jQuery ajax appels d'inclure ce jeton :

   $.ajaxSetup({
       headers : {
           'CsrfToken': $('meta[name="csrf-token"]').attr('content')
       }
   });

4. Côté serveur, vérifiez vos requêtes AJAX :

   session_start();
   if (empty($_SESSION['csrf_token'])) {
       $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
   }
   
   header('Content-Type: application/json');
   
   $headers = apache_request_headers();
   if (isset($headers['CsrfToken'])) {
       if ($headers['CsrfToken'] !== $_SESSION['csrf_token']) {
           exit(json_encode(['error' => 'Wrong CSRF token.']));
       }
   } else {
       exit(json_encode(['error' => 'No CSRF token.']));
   }

La plupart des frameworks PHP ont leur propre CSRF de la mise en œuvre, ce qui est plus ou moins sur le même principe.

---

3. Désinfecter valider la saisie de l'utilisateur.

Vous devez filtre espace des entrées et valider.

---

4. Protéger votre serveur

• Limiter le nombre de vos demandes.
• Utiliser https autant que possible.
• Block bad queries.
• Protéger les requêtes POST.

---

5. Ne faites jamais confiance à la saisie de l'utilisateur

Comme @blue112 dit, il est l'un des plus élémentaires les principes de la sécurité.

le meilleur moyen est encore de le faire côté serveur sécurisation et si j'étais un utilisateur connecté sur le site, je voudrais être capable de vérifier le jeton csrf sur ma balise meta et de forger un script sur le serveur. Ainsi, le pari sûr est côté serveur de validation