Witam.
Jak w temacie.
Jest to zarazem zabezpieczenie przed wielokrotnym wysłaniem tego samego formularza.
Proszę o uwagi.

Generowanie:

[PHP] pobierz, plaintext 
function csrf_generate() {
   $time = time();
   $output = pack('L', $time);
   $crypt_key = 'ciąg znaków znany tylko serwerowi';
   $output .= hash('crc32b', $output . sprintf('%u', ip2long(long2ip(ip2long($_SERVER['REMOTE_ADDR'])))) . $crypt_key, true);
   return rtrim(base64_encode($output), '=');
}
[PHP] pobierz, plaintext 

Walidowanie:

[PHP] pobierz, plaintext 
function csrf_decode( $string ) {
   $string = base64_decode($string);
   $time = substr($string, 0, 4);
   $crypt_key = 'ciąg znaków znany tylko serwerowi';
   if ( hash('crc32b', $time . sprintf('%u', ip2long(long2ip(ip2long($_SERVER['REMOTE_ADDR'])))) . $crypt_key, true) !== substr($string, 4)) {
      return false;
   }
   return current(unpack('L', $time));
}
 
function csrf_validate() {
   if ( ! isset($_POST['csrf']) OR ! is_string($_POST['csrf']) OR '' === $csrf = $_POST['csrf'] ) {
      return false;
   }
   if ( false === $time = csrf_decode($csrf)) {
      return false;
   }
   global $session;
   if ( $time > $session->last_form_time ) {
      // aktualizujemy czas wysłania ostatniego formularza,
      // przez co wszystkie wygenerowane do tej pory tookeny tracą ważność,
      // to zabezpiecza przed wieloktornym wysłaniem tego samego formularza.
      $session->last_form_time = time();
      $session->update();
      return true;
   }
   return false;
}
[PHP] pobierz, plaintext 

"Lekki" przerost formy nad treścią? eh gdzie się podziały czasy gdy md5() było najlepszym rozwiązaniem na wszelkie bolączki programistów

Przerost? Po mojemu minimalizm.
Kilka prostych operacji, bez ładowania spaszonych biblitek, prawie wszystkie funkcje z jądra php.

[PHP] pobierz, plaintext 
$token = md5(time().'aaa'.$_SERVER['REMOTE_ADDR']);
[PHP] pobierz, plaintext 

... to jest minimalizm bez zbędnych udziwnień - po co ci sprintf, ip2long czy base64_decode?? Bez urazy ale to jakaś paranoja....

W sumie racja.
Ten trik z ip2long służy temu aby zawsze otrzymać prawidłowe IP w unsigned int,
http://www.php.net/manual/en/function.ip2long.php#104783
Troche na bemózgim wyciągnąłem to z innej biblteki.
Tutaj jest bez sensu bo i tam robimy skrót więc forma zapisu IP nie ma większego znaczenia.
Dzięki, do poprawki..


Bez kodowania base64 nie umieścisz danych binarnych w HTMLu wewnątrz inputa hidden.... DOH!