Witam.

Napisałem sobie skrypt tokena, tylko nie wiem, czy moje rozwiązanie jest bezpieczne oraz jak trudne będzie odczytanie takiego tokena przez bota.

Skrypt składa się z 3 plików:

funkcje.php

[PHP] pobierz, plaintext 
<?php
function FormRejestracja($tokencode, $komentarz="") {
     $_SESSION["token"] = $tokencode;
     ?>
         <form method="POST" name="rejestracja" action="formularz.php">
             <? echo $komentarz; ?>
             <fieldset>
                 <legend>Login</legend>
                 <input type="text" id="login" name="login">
    
             </fieldset>
             <fieldset>
                 <legend>Hasło</legend>
                 <input type="password" id="pass" name="pass">
             </fieldset>
             <fieldset>
                 <legend>Powtórz hasło</legend>
                 <input type="password" id="pass" name="pass2">
             </fieldset>
             <fieldset>
                 <legend>E-mail</legend>
                 <input type="text" id="email" name="email">
             </fieldset>
             <fieldset>
                 <legend>Token</legend>
                 <? //include_once("user_token.php");                 
                 echo '<img src="token_pic.php">';?>
                 <input type="text" id="token" name="token">
             </fieldset>
             <input type="hidden" name="los" value="<? echo $chars; ?>">
             <p><input type="submit" id="sudmit" name="send_reg" value="Rejestruj"></p>
         </form>
     <?}
 
function createToken() {
$char = array(1,2,3,4,5,6,7,8,9,'q','w','e','r','t','y','u','i',
'o','p','l','k','j','h','g','f','d','s','a','z','x','c','v','b','n','m','Q'
,'W','E','R','T','Y','U','I','O','P','L','K','J','H','G','F','D','S',
'A','Z','X','C','V','B','N','M');
     $text = "";
     for($i = 0; $i < 7; $i++)
     {
         $text .= $char[array_rand($char)];
     }
 
return $text;
}
[PHP] pobierz, plaintext 

formularz.php

[PHP] pobierz, plaintext 
<?php
session_start();
include_once(funkcje.php);
 
$token = createToken();
 
if(isset($_POST["send_reg"]))
     {
        if($_POST['token'] == $_SESSION['token'])
        {
           $_SESSION["kom_r"] = "Token poprawny";
           
           echo $_SESSION["kom_r"];
        }
        else
        {
           FormRejestracja($token, "Token niepoprawny");
        }
     }else { 
     
     FormRejestracja($token); }
?>
[PHP] pobierz, plaintext 

token_pic.php

[PHP] pobierz, plaintext 
<?php
session_start();
header ('Content-type: image/gif');
 
$text = $_SESSION["token"];
 
/* generowanie tokena za pomocą biblioteki GD */
/* jeżeli ktoś chce kod, to proszę pisać, a tutaj nie wklejam, 
bo jest dość długi, a i tak nic nie wnosi do kwestii bezpieczeństwa (no chyba, że się mylę) */
 
imagegif($image);
imagedestroy ($Image);
?>
[PHP] pobierz, plaintext 

Prosiłbym o sprawdzenie napisanych skryptów pod katem bezpieczeństwa oraz opinię, czy takie "coś" będzie trudne do złamania dla bota?

Pozdrawiam

To bedzie banalnie latwe do zlamania przez bota. Dlaczego? Bo jezeli bot nie przechowuje ciasteczek (w tym SESSION_ID) to znaczy, ze nie nie beda dla niego dostepne zmienne sesyjne. W zwiazku z czym wystarczy, ze przesle puste $_POST['token'], to wtedy porownane do pustego (bo nie zainicjowanego) $_SESSION['token'] da zawsze true.
Zrob chociaz

[PHP] pobierz, plaintext 
<?php
if(!empty($_SESSION['token']) && $_POST['token'] === $_SESSION['token'])
?>
[PHP] pobierz, plaintext 

Czyli sprawdzenie czy zmienna sesyjna $_SESSION['token'] nie jest pusta to jedyna rzecz, którą mogę zrobić, żeby zabezpieczyć ten formularz czy może nie. Przepraszam za takie może trochę idiotyczne pytanie, ale w jaki sposób maksymalnie zabezpieczyć tego tokena.

Może mój sposób rozumowania jest błędny i token powinien być zrobiony całkowicie w inny sposób, bo jak widać kiepsko u mnie z kwestiami bezpieczeństwa , a tego tokena chciałbym maksymalnie zabezpieczyć, co jest chyba zrozumiałe.

Pozdrawiam

Zakladajac, ze nikt Ci sie nie wlamie na serwer, nie masz nigdzie var_dump($_SESSION); i nie zakladasz, ze bot odczyta kod z obrazka (co nie jest specjalnie trudne, jesli ktos sie uprze), to na tym poziomie - tak, jest to wystarczajace