ThinkPHP開發(fā)指南-模型之令牌驗(yàn)證

導(dǎo)航：上一頁

ThinkPHP新版內(nèi)置了表單令牌驗(yàn)證功能，可以有效防止表單的遠(yuǎn)程提交等安全防護(hù)。

• 表單令牌驗(yàn)證相關(guān)的配置參數(shù)有：

PHP代碼

'TOKEN_ON'=>true,  // 是否開啟令牌驗(yàn)證    

'TOKEN_NAME'=>'__hash__',    // 令牌驗(yàn)證的表單隱藏字段名稱    

'TOKEN_TYPE'=>'md5',  //令牌哈希驗(yàn)證規(guī)則 默認(rèn)為MD5   

如果開啟表單令牌驗(yàn)證功能，系統(tǒng)會自動在帶有表單的模板文件里面自動生成以TOKEN_NAME為名稱的隱藏域，其值則是TOKEN_TYPE方式生成的哈希字符串，用于實(shí)現(xiàn)表單的自動令牌驗(yàn)證。

自動生成的隱藏域位于表單Form結(jié)束標(biāo)志之前，如果希望自己控制隱藏域的位置，可以手動在表單頁面添加__TOKEN__ 標(biāo)識，系統(tǒng)會在輸出模板的時候自動替換。如果在開啟表單令牌驗(yàn)證的情況下，個別表單不需要使用令牌驗(yàn)證功能，可以在表單頁面添加__NOTOKEN__，則系統(tǒng)會忽略當(dāng)前表單的令牌驗(yàn)證。

如果頁面中存在多個表單，建議添加__TOKEN__標(biāo)識，并確保只有一個表單需要令牌驗(yàn)證。

模型類在創(chuàng)建數(shù)據(jù)對象的同時會自動進(jìn)行表單令牌驗(yàn)證操作，如果你沒有使用create方法創(chuàng)建數(shù)據(jù)對象的話，則需要手動調(diào)用模型的autoCheckToken方法進(jìn)行表單令牌驗(yàn)證。如果返回false，則表示表單令牌驗(yàn)證錯誤。例如：

PHP代碼

$User = M("User"); // 實(shí)例化User對象    

// 手動進(jìn)行令牌驗(yàn)證    

if (!$User->autoCheckToken($_POST)){    

// 令牌驗(yàn)證錯誤    

}