PHPでCSRF攻撃を防ぐトークン実装方法を徹底解説

CSRF（クロスサイトリクエストフォージェリ）は、Webアプリケーションにおいてユーザーに意図しないリクエストを送信させる攻撃手法の一つであり、個人情報の漏洩や不正操作といった深刻な被害を引き起こす可能性があります。PHPでのWeb開発において、この攻撃を防ぐことは、ユーザーのセキュリティを確保するために非常に重要です。本記事では、CSRF攻撃の仕組みを理解し、PHPでの効果的なトークンを用いた防御策の実装方法について具体的に解説していきます。CSRFトークンを活用した安全なWebアプリケーションの構築方法を学び、CSRF攻撃からの保護を強化しましょう。

CSRF攻撃とは

CSRF（クロスサイトリクエストフォージェリ）攻撃とは、ユーザーがログイン中のWebアプリケーションに対して、攻撃者が意図しないリクエストを送信させる攻撃手法です。この攻撃を通じて、ユーザーの認証情報を悪用し、ユーザーの意図に反したアクション（データの削除や不正な取引）を実行させることが可能です。

CSRFの危険性

CSRF攻撃は、特に次のような場面で深刻なリスクを引き起こします。

• アカウント操作：設定の変更やパスワードのリセット
• 取引の強制実行：金融取引やショッピングの注文
• データの削除・変更：データベースのデータ破壊や改ざん

このような不正操作は、ユーザーが気づかない間に実行されるため、企業やサービスにとっても大きな信頼の損失となる恐れがあります。

CSRF攻撃の仕組み

CSRF攻撃は、ユーザーが特定のWebサイトにログインしている状態で、悪意のある第三者がユーザーのブラウザを利用し、意図しないリクエストを送信させることで成り立ちます。この攻撃の成功要因は、ユーザーの認証情報が攻撃時にも自動的にリクエストに含まれることにあります。

攻撃の流れ

1. ユーザーの認証状態
   被害者（ユーザー）は、攻撃対象となるWebサイトにログインし、セッションが有効な状態で他のページを閲覧しています。
2. 攻撃者が仕掛けたリンクのクリック
   攻撃者は、ソーシャルメディアやメール、掲示板などに悪意のあるリンクやフォームを仕掛けておきます。ユーザーがこのリンクをクリックすると、ユーザーのブラウザが無意識に攻撃対象サイトへのリクエストを送信します。
3. ユーザー認証情報の悪用
   リクエストはユーザーがログインしているセッションの認証情報を伴って送信されるため、サーバーはそのリクエストがユーザー自身の操作によるものと認識し、不正な操作を実行します。

具体例

例えば、銀行サイトにログイン中のユーザーが、攻撃者が作成した「お金を転送するリクエスト」リンクをクリックした場合、そのリンクがユーザーの認証情報を伴い送信されるため、サーバー側はユーザーの許可と見なし、資金を攻撃者の口座に送金してしまうことが起こり得ます。

このように、CSRF攻撃はユーザーのセッションを利用することで不正行為を成立させるため、予防策が不可欠です。

PHPでのCSRF対策の基本概念

PHPでのCSRF対策では、ユーザーの意図しないリクエストがアプリケーションに送信されないように、正当なリクエストと不正なリクエストを区別するための仕組みが求められます。これには、CSRFトークンと呼ばれる一時的な識別コードが広く使用されています。

CSRF対策の基本的な考え方

CSRF攻撃を防ぐための対策は、正当なリクエストであることを証明する手段を持たせることにあります。PHPアプリケーションにおける代表的なCSRF対策の概念は以下の通りです。

1. トークンの生成
   フォームを生成する際に、セッションごとにユニークなトークンを作成し、ユーザーのリクエストごとに渡すようにします。このトークンは、他者が簡単に推測やコピーできないものでなければなりません。
2. トークンの埋め込み
   作成したトークンを、HTMLフォーム内に隠しフィールドとして埋め込み、送信時に一緒に送られるようにします。これにより、トークンがない、もしくは一致しないリクエストは正当ではないと判定できます。
3. トークンの検証
   サーバー側では、リクエストで受信したトークンがセッションに保存されたトークンと一致するかを確認します。一致しない場合、リクエストは不正と判断し、処理を拒否します。

PHPでのCSRFトークン利用のメリット

CSRFトークンを利用することで、以下のようなメリットが得られます。

• ユーザーの認証情報を保護：不正リクエストが実行されにくくなり、ユーザーが意図しないアクションを防止します。
• アプリケーションの安全性向上：認証が必要なリクエストに対して、セキュリティの層を追加できます。

このように、PHPでのCSRF対策はトークンを利用することが基本であり、このトークンの仕組みがユーザーのセッションを守る重要な鍵となります。

トークンを使ったCSRF防止の仕組み

CSRF攻撃を防ぐための最も効果的な方法の一つが、リクエストにCSRFトークンを組み込むことです。このトークンは、アプリケーションに一意の識別情報を追加し、ユーザーが意図していないリクエストを防止するために使用されます。

CSRFトークンの役割

CSRFトークンは、各ユーザーのセッションに固有の値を持つことで、次の役割を果たします。

1. リクエストの正当性確認：トークンを用いることで、サーバー側はリクエストがアプリケーションを経由して送信されたものであると判別できます。
2. 推測困難な識別子：トークンはランダムかつ予測不可能な値であるため、攻撃者が容易に生成したり、偽造リクエストにトークンを組み込むことが困難になります。

CSRFトークン防止の動作メカニズム

CSRFトークンを使った防止機構は、次の流れで実行されます。

1. トークン生成
   サーバーは、ユーザーがフォームを表示する際に、ユニークなトークンを生成し、ユーザーのセッションに保存します。このトークンは攻撃者が知ることができない、推測が難しいランダムな値です。
2. トークン埋め込み
   生成されたトークンは、HTMLフォームの隠しフィールドに埋め込まれ、リクエスト送信時に自動的にサーバーへ送信されます。
3. トークンの検証
   サーバーはリクエスト受信時に、フォームから送信されたトークンと、セッションに保存されているトークンを照合します。この2つが一致しない場合、そのリクエストは不正であると判断し、処理を拒否します。

効果的なCSRF防止策としてのトークン利用

この仕組みにより、外部から送信された不正リクエストにはトークンが含まれないため、サーバー側で簡単に検知・防止できます。CSRFトークンの利用は、ユーザーの意図に反する操作を抑止するための有効な手段です。

CSRFトークンの生成方法

CSRF対策において、トークンの生成は非常に重要です。PHPでCSRFトークンを生成するためには、セキュリティを確保しつつ、予測が困難な一意の値を使用する必要があります。以下では、PHPでのCSRFトークンの生成手順とコード例について詳しく説明します。

トークン生成の手順

CSRFトークンを生成する際の基本手順は以下の通りです。

1. セッションの開始
   PHPでトークンを管理するために、まずセッションを利用します。セッションはユーザーごとに異なる情報を保持できるため、CSRFトークンの保存場所として最適です。
2. トークンの作成
   トークンは、ランダムな文字列として生成される必要があります。PHPでは、bin2hex(random_bytes())を使用することで、ランダムで予測が難しいトークンを生成できます。
3. セッションへの保存
   生成したトークンはセッションに保存し、後で検証する際に利用します。

PHPでの具体的なコード例

以下のコード例は、PHPでCSRFトークンを生成し、セッションに保存する方法を示しています。

session_start(); // セッション開始

// トークンが未生成であれば新たに生成する
if (!isset($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32)); // 32バイトのランダムトークン生成
}

このコードでは、まずセッションを開始し、CSRFトークンがまだ生成されていない場合のみトークンを作成し、セッションに保存します。これにより、ユーザーごとに一意のトークンが保持され、フォーム送信時の検証に使用できます。

CSRFトークン生成のポイント

• ランダム性：random_bytes()を用いることで、攻撃者に推測されにくいトークンが生成されます。
• セッション管理：セッションを利用することで、ユーザーごとにトークンを一意に管理でき、不正アクセスを防止します。

このように、PHPで生成したCSRFトークンは、セキュリティを強化するための強力な手段となり、次のステップでトークンをフォームに埋め込む準備が整います。

トークンの埋め込みとフォームへの組み込み

生成したCSRFトークンは、HTMLフォームに埋め込むことで、ユーザーが送信するリクエストに含められます。これにより、サーバー側でトークンの有効性を確認し、不正リクエストを排除することが可能になります。

トークンのフォームへの埋め込み方法

トークンをフォームに埋め込むためには、通常隠しフィールド（<input type="hidden">）を使用します。このフィールドにトークンをセットし、ユーザーがフォームを送信した際に、リクエストと一緒にトークンもサーバーに送られるようにします。

具体的な埋め込み例

以下のコード例では、CSRFトークンを含むフォームの作成方法を示しています。

<form action="process.php" method="POST">
    <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">
    <!-- 他のフォームフィールド -->
    <input type="text" name="username" placeholder="ユーザー名">
    <input type="password" name="password" placeholder="パスワード">
    <button type="submit">送信</button>
</form>

この例では、<input type="hidden">にcsrf_tokenという名前でセッションに保存したトークンを設定し、フォームの他のフィールドと共に送信されるようにしています。

トークンを含むフォームの重要性

• 自動的な検証が可能：フォームにトークンを埋め込むことで、サーバーはリクエストがユーザーの意図によるものであるかを簡単に確認できます。
• 非公開のトークン：トークンは非表示でユーザーに表示されないため、外部からは確認できず、推測されにくくなります。

このようにトークンを埋め込んだフォームを作成することで、CSRF対策の第一歩が完了します。次のステップでは、この埋め込んだトークンを使ってサーバー側でリクエストの検証を行います。

トークンの検証方法

CSRFトークンを利用した対策において、送信されたリクエストが正当なものかを確認するためには、サーバー側でトークンの検証を行います。これにより、トークンが一致しないリクエストを不正と判断し、処理を拒否することができます。

トークン検証の手順

以下の手順で、サーバー側のスクリプトはリクエストに含まれるトークンの有効性を確認します。

1. セッションの開始
   セッションに保存されたトークンを取得するため、検証時もセッションを開始します。
2. トークンの存在確認
   リクエストに含まれるトークンとセッションに保存されているトークンがそれぞれ存在するか確認します。いずれかが存在しない場合、その時点でリクエストを無効と見なします。
3. トークンの一致確認
   リクエストのトークンがセッションに保存されたトークンと一致するか確認します。一致しない場合、不正なリクエストと判断し、処理を中断します。

具体的なコード例

以下のコードは、送信されたトークンを検証し、リクエストの正当性を確認する例です。

session_start(); // セッション開始

// CSRFトークンの検証
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (isset($_POST['csrf_token'], $_SESSION['csrf_token']) && 
        hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {

        // トークンが一致する場合：リクエストを正常に処理
        echo "リクエストは正当です。";
        // ここにフォームデータの処理を追加します

    } else {
        // トークンが一致しない場合：不正リクエストとして拒否
        echo "エラー：不正なリクエストが検出されました。";
        exit;
    }
}

このコードでは、hash_equals()関数を使用して、セッションに保存されたトークンと送信されたトークンの一致を確認しています。hash_equals()を用いることで、タイミング攻撃を防止し、セキュリティを強化できます。

検証時の考慮点

• トークンの欠如：リクエストにトークンが含まれない場合、すぐに不正リクエストと判断します。
• トークンの一致確認：hash_equals()を用いることで、トークンの一致を安全に検証します。

トークンの検証を確実に行うことで、不正なリクエストが実行されるリスクを最小限に抑え、アプリケーションのセキュリティを強化することが可能です。

トークンのライフサイクルと有効期限の設定

CSRFトークンを利用した防御をより強化するために、トークンの有効期限を設定し、ライフサイクルを管理することが重要です。有効期限を設けることで、トークンが長時間使用されるリスクを低減し、トークンが不正に使用される可能性を減らすことができます。

有効期限の設定方法

トークンの生成時に有効期限を設定することで、特定の時間が経過したトークンを無効にすることが可能です。以下の手順で、トークンの有効期限を管理します。

1. トークンの生成時にタイムスタンプを設定
   トークン生成時に、トークンの作成時間をセッションに保存します。この時間を基に、リクエスト時に経過時間を判定します。
2. 有効期限のチェック
   リクエスト受信時に、トークンの生成時刻と現在時刻を比較し、設定した有効期間を超えていないかを確認します。超過している場合は、トークンを無効と判断し、不正リクエストとして処理を拒否します。

具体的なコード例

以下は、トークンの有効期限を管理するPHPのコード例です。

session_start(); // セッション開始

// トークンの生成とタイムスタンプ設定
if (!isset($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32)); // トークン生成
    $_SESSION['csrf_token_time'] = time(); // トークン生成時刻の保存
}

// トークンの有効期限（例：10分 = 600秒）
$token_lifetime = 600;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // トークンの存在と一致をチェック
    if (isset($_POST['csrf_token'], $_SESSION['csrf_token']) && 
        hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {

        // トークンの有効期限をチェック
        if (time() - $_SESSION['csrf_token_time'] <= $token_lifetime) {
            echo "リクエストは正当です。";
            // ここにリクエスト処理を追加

        } else {
            echo "エラー：トークンの有効期限が切れています。";
            exit;
        }
    } else {
        echo "エラー：不正なリクエストが検出されました。";
        exit;
    }
}

このコードでは、$_SESSION['csrf_token_time']にトークン生成時のタイムスタンプを保存し、リクエスト時に現在時刻との経過時間をチェックしてトークンの有効期限を判定しています。

トークン管理のポイント

• 有効期限の設定：適切な有効期限を設定することで、セキュリティを向上させます。短すぎるとユーザー体験が低下し、長すぎると不正利用のリスクが高まります。
• 期限切れトークンの再生成：トークンが期限切れとなった場合、新たなトークンを生成し、再度セッションに保存することを推奨します。

このようにトークンのライフサイクルを管理することで、長期間利用されるトークンによるセキュリティリスクを抑制し、CSRF対策をさらに強化することができます。

トークン管理のベストプラクティス

CSRFトークンによる対策を効果的に機能させるためには、トークン管理のベストプラクティスを遵守することが重要です。これにより、トークンが確実に機能し、アプリケーションのセキュリティが向上します。以下では、トークンの生成から検証、破棄までの管理方法について、重要なポイントを紹介します。

1. 一意なトークンの生成

トークンは、各ユーザーのセッションごとに一意である必要があります。random_bytes()やbin2hex()を使い、推測が難しいランダムなトークンを生成することが推奨されます。

2. トークンの保存場所の一元化

CSRFトークンはサーバー側のセッションで一元管理し、クライアント側にはトークン自体を公開しない形で運用することが望ましいです。セッションに保存することで、複数ページやフォームでの共有が容易になります。

3. トークンの有効期限管理

トークンに有効期限を設定することで、リクエストに利用されるトークンが常に新しいものであることを確保します。例えば、10分〜30分程度の期限が適切とされ、不正利用のリスクを減らすことができます。

4. トークンの使用後の破棄

一度使用されたトークンは破棄し、新しいリクエストには新しいトークンを生成することが推奨されます。これにより、リプレイ攻撃（同じリクエストを再度送信する攻撃）のリスクを軽減します。

5. タイミング攻撃対策

トークンの比較にはhash_equals()関数を使用し、タイミング攻撃を防ぎます。この関数は二つの文字列が一致するかを確認する際、実行時間が一定になるため、トークンを狙った攻撃がしにくくなります。

6. フォーム生成時のトークン発行

フォームを生成するたびにトークンを発行し、動的に埋め込むことで、同じトークンが複数回利用されることを防ぎます。これにより、外部サイトがフォーム送信を模倣しにくくなります。

7. APIリクエストへのトークンの適用

CSRF対策は通常のフォーム送信だけでなく、APIリクエストにも適用することで、セキュリティがさらに向上します。APIエンドポイントに対しても、トークンを含めたリクエストのみ許可するように設定するのが理想です。

8. トークン不一致時のエラーハンドリング

不正なトークンや期限切れのトークンでのリクエストが送信された場合、適切なエラーメッセージを返し、セッションの再生成やログイン画面へのリダイレクトを実装しておくことが推奨されます。

このようなベストプラクティスに従うことで、CSRFトークンによる保護をさらに強固なものにし、不正リクエストのリスクを最小限に抑えることができます。安全で信頼性の高いWebアプリケーションを構築するためには、これらの管理方法を実践することが不可欠です。

実装時の注意点とよくあるミス

CSRFトークンを用いたセキュリティ対策は、正しく実装しなければ効果が半減する可能性があります。以下では、トークンの実装においてよくあるミスと、その対策について説明します。

1. トークンの再利用

ミス：同じトークンを複数回使用可能にすることで、リプレイ攻撃のリスクが生まれます。
対策：トークンは一度のリクエストでのみ有効にし、使用後は破棄して新しいトークンを生成するようにします。

2. トークンの有効期限設定の欠如

ミス：トークンの有効期限を設定せず、長期間使用可能にしてしまうと、セッションハイジャックのリスクが高まります。
対策：トークンの生成時に有効期限を設定し、期限が過ぎたトークンは無効と判断するようにします。適切な有効期限（例：10〜30分）が推奨されます。

3. トークンをURLに含める

ミス：トークンをURLパラメータとして渡すと、ブラウザの履歴やサーバーログに記録され、第三者に見られる可能性があります。
対策：トークンはURLではなく、フォーム内の隠しフィールドやリクエストヘッダーに含めることで、外部に漏れないようにします。

4. セッション管理の不備

ミス：セッションが正しく管理されていないと、トークンを正確に照合できず、不正リクエストを見逃すリスクがあります。
対策：トークンは必ずセッションに保存し、セッションが開始されていない場合は、リクエストを拒否するようにします。

5. トークンチェックの省略

ミス：特定のページやフォームでトークンチェックを省略すると、その部分が攻撃の入り口になります。
対策：CSRFトークンを必要とするリクエストすべてに対し、必ずトークンチェックを実装し、漏れがないようにします。

6. トークン不一致時の不適切な処理

ミス：トークンが不一致でもエラー処理をせず、そのまま次の処理に進んでしまうことがあります。
対策：トークンが一致しない場合は、不正リクエストと判断し、エラーメッセージを返す、もしくはリクエストを完全に拒否するなど、適切なエラーハンドリングを行います。

7. タイミング攻撃に対する無防備

ミス：単純な==や===によるトークン比較は、タイミング攻撃に対して脆弱です。
対策：PHPのhash_equals()関数を使用して、トークンの比較時に一定の実行時間を確保し、タイミング攻撃のリスクを低減させます。

8. 複数のフォームに同じトークンを使用

ミス：異なるフォームに同じトークンを使用すると、トークンが予測されやすくなります。
対策：フォームごとに異なるトークンを発行し、各フォームで個別にトークン検証を行います。

これらの注意点を考慮し、トークンを適切に管理することで、CSRF対策の効果を最大限に発揮し、Webアプリケーションのセキュリティを向上させることができます。

トークンベースのCSRF対策における応用例

CSRFトークンは、基本的なCSRF対策だけでなく、Webアプリケーションのセキュリティをさらに強化するためのさまざまな応用に役立ちます。以下では、トークンを使ったセキュリティの応用例と追加の防御策について紹介します。

1. APIリクエストでのCSRF対策

CSRFトークンは通常のフォーム送信だけでなく、APIリクエストにも利用できます。特に、シングルページアプリケーション（SPA）やモバイルアプリとの通信でCSRF対策を施すことが重要です。
応用方法：

• CSRFトークンをリクエストヘッダーに含め、APIリクエストと一緒にサーバーに送信します。
• サーバー側でリクエストヘッダーのトークンを検証し、不正なリクエストを防ぎます。

2. ログインセッションの強化

ユーザーがログインする際、CSRFトークンを用いて、アカウント乗っ取り防止の追加チェックが可能です。これにより、悪意あるログインリクエストが行われた場合のリスクを軽減できます。
応用方法：

• ログイン時にCSRFトークンを検証し、トークンがない、または一致しない場合はリクエストを拒否する。
• ログイン後のセッションに新しいトークンを発行し、ページ遷移ごとに検証します。

3. AJAXリクエストでの動的トークン生成

AJAXを利用した動的なページでは、トークンの更新が行われずに複数のリクエストが行われることがあるため、動的にトークンを生成し直すことで、セキュリティを維持できます。
応用方法：

• フォームやリクエストごとにAJAXリクエストを通じて新しいトークンを取得し、その場で埋め込みます。
• トークンのライフサイクルを短く設定し、動的なページでもトークンを頻繁に更新するようにします。

4. トークンとCAPTCHAの併用

CSRFトークンに加えて、CAPTCHAを組み合わせることで、不正なリクエストをさらに効果的に防止することが可能です。特に、スパムや自動化された攻撃に対して強固な対策となります。
応用方法：

• トークンチェックに加えて、リクエストごとにCAPTCHAを表示し、ユーザーの操作を二重で確認します。
• 重要なアクション（アカウント情報の変更、取引の実行など）では、CSRFトークンとCAPTCHAの両方を要求します。

5. マルチデバイスアクセスのセキュリティ強化

CSRFトークンは、デバイスごとに個別に発行し、デバイス認証の一環として活用することも可能です。これにより、複数デバイスでのセッション管理が行いやすくなり、リクエストの正当性をより精密に判断できます。
応用方法：

• 各デバイスやブラウザごとにユニークなCSRFトークンを生成し、アクセス時に検証します。
• 新しいデバイスからのアクセスには追加の認証を求め、不正アクセスのリスクを低減します。

6. トークンベースの二段階認証

CSRFトークンは、二段階認証の一環としても使用できます。例えば、ログイン時に発行されたトークンを入力フォームに含め、認証コードとともに確認を行う方法です。
応用方法：

• 重要なアクション（パスワードの変更や支払い）を行う際に、CSRFトークンとワンタイムパスワード（OTP）の両方を要求します。
• トークンとOTPが一致しない場合、アクションを拒否し、不正リクエストを未然に防ぎます。

これらの応用例を取り入れることで、CSRFトークンによる防御はさらに多層的に強化され、アプリケーションの安全性が向上します。トークンを効果的に活用し、複雑化する脅威に対応した堅牢なセキュリティ対策を構築することが可能です。

PHPでのCSRF対策実装例コード

ここでは、PHPでCSRFトークンを利用した基本的な対策の実装例を紹介します。フォーム生成からトークン検証、エラーハンドリングまでを含めたコードにより、実際の利用方法が理解できます。

ステップ1: CSRFトークンの生成と埋め込み

まず、トークンを生成し、フォームに埋め込む方法を示します。セッションにトークンを保存し、隠しフィールドとしてフォームに追加します。

// セッションの開始
session_start();

// トークンの生成（既存トークンがない場合のみ）
if (!isset($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32)); // ランダムトークンを生成
    $_SESSION['csrf_token_time'] = time(); // トークン生成時刻を保存
}
?>

<!-- トークンを含むHTMLフォーム -->
<form action="process.php" method="POST">
    <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">
    <label for="username">ユーザー名</label>
    <input type="text" id="username" name="username">

    <label for="password">パスワード</label>
    <input type="password" id="password" name="password">

    <button type="submit">送信</button>
</form>

このコードでは、セッション内にCSRFトークンと生成時刻を保存しています。フォーム内の隠しフィールドcsrf_tokenにトークンを設定し、フォーム送信時に一緒に送られるようにします。

ステップ2: CSRFトークンの検証とリクエストの処理

次に、process.phpでリクエストを受け取った際に、送信されたトークンがセッションのトークンと一致するか検証します。

session_start(); // セッション開始

// トークンの有効期限（10分 = 600秒）
$token_lifetime = 600;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // トークンの存在と一致をチェック
    if (isset($_POST['csrf_token'], $_SESSION['csrf_token']) && 
        hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {

        // トークンの有効期限を確認
        if (time() - $_SESSION['csrf_token_time'] <= $token_lifetime) {
            echo "リクエストは正当です。";
            // ここにリクエスト処理を記述
            // 例: ユーザー情報の更新処理など

            // トークンの破棄と再生成（使い捨てにするため）
            unset($_SESSION['csrf_token']);
            $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
            $_SESSION['csrf_token_time'] = time();

        } else {
            echo "エラー：トークンの有効期限が切れています。";
            exit;
        }

    } else {
        echo "エラー：不正なリクエストが検出されました。";
        exit;
    }
}

この例では、次の手順でトークンを検証しています：

1. トークンの存在確認：リクエスト内とセッション内にトークンが存在するか確認します。
2. トークンの一致確認：hash_equals()でトークンが一致するかを検証し、タイミング攻撃を防止します。
3. 有効期限のチェック：トークン生成から10分以上経過している場合、期限切れと判断してリクエストを拒否します。
4. トークンの再生成：リクエストが成功した場合、トークンを破棄し、新しいトークンを生成します。

ステップ3: エラーハンドリング

トークンが一致しない、または期限切れの場合には、エラーメッセージを表示し、処理を中断することで、不正リクエストの実行を防ぎます。

実装のポイント

• トークンの再生成：リクエスト処理後にトークンを破棄し、新しいトークンを発行します。
• タイムスタンプの使用：トークンの生成時刻を記録し、有効期限を超えたトークンは無効とします。
• タイミング攻撃防止：hash_equals()を用いることで、比較時の時間差を一定にし、攻撃のリスクを抑えます。

このようなトークン実装によって、PHPアプリケーションでのCSRF攻撃を効果的に防ぎ、安全性を向上させることができます。

まとめ

本記事では、PHPを用いたCSRF対策の実装方法について詳しく解説しました。CSRF攻撃の仕組みからトークンの生成、フォームへの埋め込み、トークンの検証、そしてトークン管理のベストプラクティスまでを取り上げ、トークンベースのセキュリティ強化方法を紹介しました。CSRFトークンは、リクエストの正当性を保証し、アプリケーションの安全性を高めるための強力な対策です。適切なトークン管理と期限設定により、PHPアプリケーションの信頼性とセキュリティを一層向上させることができます。