【サクッと解説】PHPだけで実装する簡易CSRF対策の基本構成

2025年8月4日

1. 本記事のポイント

PHPのみを用いた基本的なCSRF対策の実装方法を解説
フレームワーク非依存で、フォーム処理に適用可能な構成
セッションを活用したトークン生成・検証の流れを紹介

2. CSRFとは？

CSRF（Cross-Site Request Forgery）は、認証済みユーザーの権限を悪用して、意図しないリクエストを外部サイトから送信させる攻撃です。

例えば、ログイン済みの銀行サイトに対し、攻撃者が仕込んだ外部ページを通じて勝手に送金リクエストを実行させるといったケースが代表例です。ユーザーのCookieが自動送信されることで、不正リクエストであっても正当な操作として処理されるリスクがあります。

CSRF対策として一般的なのは、フォーム送信時にランダムなトークンを埋め込み、それが正当なものであるかをサーバー側で検証する方式です。この仕組みにより、攻撃者が用意した偽のフォームからはトークンが一致せず、リクエストを拒否できます。

実務ではフレームワークに組み込まれていることが多いですが、本記事ではPHPのみで最小限の仕組みを自作する方法に焦点を当てます。

3. 詳細解説

トークンの生成と保存

セッションを使ってトークンを生成・保持します。ページ初回表示時にトークンを作成し、フォームに埋め込みます。

PHP

<?php
session_start();

// トークンが未生成であれば作成
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['csrf_token'];
?>

<?php
session_start();

// トークンが未生成であれば作成
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['csrf_token'];
?>

フォームにトークンを埋め込む

フォーム内にhiddenフィールドでトークンを埋め込みます。

HTML

<form method="post" action="submit.php">
    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars($token, ENT_QUOTES); ?>">
    <input type="text" name="message">
    <input type="submit" value="送信">
</form>

<form method="post" action="submit.php">
    <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars($token, ENT_QUOTES); ?>">
    <input type="text" name="message">
    <input type="submit" value="送信">
</form>

サーバー側での検証

フォーム送信後、トークンが正しいかを検証します。

PHP

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!isset($_POST['csrf_token'], $_SESSION['csrf_token']) ||
        !hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        die('不正なリクエストです');
    }

    // 正常なリクエストとして処理を続行
    $message = $_POST['message'];
    echo "受信メッセージ: " . htmlspecialchars($message, ENT_QUOTES);
}
?>

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!isset($_POST['csrf_token'], $_SESSION['csrf_token']) ||
        !hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        die('不正なリクエストです');
    }

    // 正常なリクエストとして処理を続行
    $message = $_POST['message'];
    echo "受信メッセージ: " . htmlspecialchars($message, ENT_QUOTES);
}
?>