Problem in Object – PHP – Fórum – Programujte.com

Vytvořil jsem si tuhle třídu na ochranu proti CSRF útoku, ale nějak mi nefunguje:

#### Třída ochrany proti CSRF útoku

class csrf_control

{

 private $controlString;

 private $lastControlString;

 function __construct()

 {

  session_start();

  $this->controlString = superRand(6);

  $this->lastControlString = $_SESSION['anti_csrf'];

  $_SESSION['anti_csrf'] = $this->controlString;

 }

 public function validate($methodget=false)

 {

  $controlString = ($methodget) ? $_GET['anti_csrf'] : $_POST['anti_csrf'];

  if ($controlString == $this->lastControlString)

  {

   return(true);

  }

  else

  {

   die("<p>FATAL ERROR</p>");

   return(false);

  }

 }

 public function getControlString()

 {

  return($this->controlString);

 }

 public function getInput()

 {

  return("<input type=\"hidden\" name=\"anti_csrf\" value=\"".$this->controlString."\" />");

 }

}

public function getLastControlKey()

{

 return($this->lastControlString);

}

Ono to je tezky kdyz nenapises, jaky je radek 46. Jestli dobre chapu, tak to ani neni v teto ukazce.

Jenom drobna chybka v pristupu - doporucuji te tride jasne definovat vstupy a nespolehat na to co prijde ze superglobalnich poli. Viz. :

public function validate($methodget=false)

{

  $controlString = ($methodget) ? $_GET['anti_csrf'] : $_POST['anti_csrf'];

  if ($controlString == $this->lastControlString)

public function validate($controlString)

{

  if ($controlString == $this->lastControlString)

Řádek 46 je ten druhý kod.

Zjednodušeně, to co je v $_SESSION['anti_csrf'] se nechová jako String.

tak si pomoci print_f vypis co v te promenne je

To je divné, je tam tohle:
csrf_control Object ( [controlString:private] => 6BE17A [lastControlString:private] => csrf_control Object ( [controlString:private] => 846693 [lastControlString:private] => 09A345 ) )

Jako kdyby to odkazovalo na ten objekt, nechápu proč ale.

.... jo a jinak ta fce je print_r()

Tak tam do toho nekde posilas objekt. Neukladas do te session jeste nekde jinde?

A co je zac ta funkce superRand?

fce superRand vypadá takhle:

function superRand($num)

{

 if (!is_numeric($num))

 {

  die("<p>Parametr musí být číslo!</p>");

 }

 return(strtoupper(substr(md5(rand()), 0, $num)));

}

Tak zkus zkrz cely ten objekt prokontrolovat pomoci toho print r a vystopovat, kde se tam ten objekt bere. Se tam prece nemuze jen tak objevit.

A k te print f... sorry, preklep