Пример аутентификации Facebook CSRF - PullRequest
Новая
       7

Пример аутентификации Facebook CSRF

0 голосов
/ 09 сентября 2011

Пример аутентификации Facebook, указанный на http://developers.facebook.com/docs/authentication/, пытается предотвратить CSRF, вставляя случайную группу информации в часть status auth_request.Когда этот auth_request возвращается, код проверяет, чтобы убедиться, что та же самая случайная группа была возвращена с запросом.Как это превосходит CSRF?

Код: 

<?php 

   $app_id = "YOUR_APP_ID";
   $app_secret = "YOUR_APP_SECRET";
   $my_url = "YOUR_URL";

   session_start();
   $code = $_REQUEST["code"];

   if(empty($code)) {
     $_SESSION['state'] = md5(uniqid(rand(), TRUE)); //CSRF protection
     $dialog_url = "http://www.facebook.com/dialog/oauth?client_id=" 
       . $app_id . "&redirect_uri=" . urlencode($my_url) . "&state="
       . $_SESSION['state'];

     echo("<script> top.location.href='" . $dialog_url . "'</script>");
   }

   if($_REQUEST['state'] == $_SESSION['state']) {
     $token_url = "https://graph.facebook.com/oauth/access_token?"
       . "client_id=" . $app_id . "&redirect_uri=" . urlencode($my_url)
       . "&client_secret=" . $app_secret . "&code=" . $code;

     $response = file_get_contents($token_url);
     $params = null;
     parse_str($response, $params);

     $graph_url = "https://graph.facebook.com/me?access_token=" 
       . $params['access_token'];

     $user = json_decode(file_get_contents($graph_url));
     echo("Hello " . $user->name);
   }
   else {
     echo("The state does not match. You may be a victim of CSRF.");
   }

 ?>

Бит информации добавляется к запросу здесь: 

 if(empty($code)) {
     $_SESSION['state'] = md5(uniqid(rand(), TRUE)); //CSRF protection
     $dialog_url = "http://www.facebook.com/dialog/oauth?client_id=" 
       . $app_id . "&redirect_uri=" . urlencode($my_url) . "&state="
       . $_SESSION['state'];

     echo("<script> top.location.href='" . $dialog_url . "'</script>");
   }

И проверяется здесь: 

 if($_REQUEST['state'] == $_SESSION['state'])

Как обеспечение того, что они имеют одно и то же "состояние", гарантирует отсутствие CSRF?

Спасибо

1 Ответ

4 голосов
/ 09 сентября 2011

Хеш (или состояние) генерируется вами для каждого запроса к веб-службе (Facebook) и сохраняется в сеансе на вашем сервере.Этот хеш отправляется с просьбой в Facebook с вашего сайта.Facebook отправляет точно такой же хэш обратно в качестве параметра в ответе.

Все, что вам нужно сделать, это проверить, соответствует ли хэш, сгенерированный перед запросом, ответом в ответе. 

   MyWebsite   |    Facebook
---------------+-----------------
               |
Generate $hash |
  Store $hash  |
               |
             $hash
    ----------------------->
               |
             $hash
    <-----------------------
               |
  Check $hash  |

Это предотвращаетCSRF, потому что хэш отличается для каждого запроса.Очевидно, что если вы используете одну и ту же строку для каждого запроса, любой, кто знает (или догадывается), сможет подделать ответ.

Как только запрос будет завершен, проверьте хэш из сеанса и хэш вответ оба совпадают.Если они не совпадают, это может быть поддельный ответ.После проверки удалите значение из сеанса, так как оно вам больше не понадобится.

В общих случаях (не только в реализации Facebook) часто целесообразно также хранить тайм-аут для хэша.Это предотвратит использование / использование хэша неполного запроса позднее.Не существует единого времени, подходящего для всех приложений и случаев, но в случае вторичного запроса / действия, подобного этому, 30 с -1 минута подойдут.

...