Есть немного данных для размышления:
В интернетах говорят, что MD5 на GPU можно перебирать со скоростью в 200-500 миллионов хешей в секунду.
Немногим выше говорится о 1.7 млн./сек на ноутбуке и php.
Вы на даты постов вообще смотрели? Ссылка вполне работала тогда, когда я её постил. Или Вы считаете, что я должен постоянно проходить все свои посты, следя за свежестью ссылок? Извините тогда, но я не вижу в этом смысла.
А недоволен я бессмысленностью Вашего комментария. А если бы я не увидел Вашего комментария? Юзер, если ему интересна ссылка, и сам заметит, что она умерла. А вот приведи Вы рабочую ссылку, Вы бы сэкономили его время и силы.
Спасибо, очень полезный комментарий. Могли бы и правильную ссылочку приложить.
(Единственная информация, которой я воспользовался для нахождения правильной ссылки — это адрес исходной. Что мешало Вам воспользоваться гуглом? Хотя бы так?)
Несколько — это сколько? Тут сделать-то нужно:
1. Сгенерировать случайную строчку. 1 строчка кода.
2. Записать её в куку. 1 строчка кода.
3. Вывести соответствующий тег в коде страницы. 1 строчка кода.
4. Сравнить значение из куки со значением из формы. 1 строчка кода.
Перечитайте сообщение ещё раз. Нет необходимости в запоминании токена на сервере.
И цель у csrf-токена только одна — подтвердить то, что юзер осознанно совершил действие, в отличие от sid'а.
Так если она и без того будет в форме, зачем её дублировать в куках? Или Вы хотите сравнивать значение из куки со значением из формы? Вот Вам и решение проблемы
в вашем случае правильное значение токена надо помнить на сервере
В интернетах говорят, что MD5 на GPU можно перебирать со скоростью в 200-500 миллионов хешей в секунду.
Немногим выше говорится о 1.7 млн./сек на ноутбуке и php.
А недоволен я бессмысленностью Вашего комментария. А если бы я не увидел Вашего комментария? Юзер, если ему интересна ссылка, и сам заметит, что она умерла. А вот приведи Вы рабочую ссылку, Вы бы сэкономили его время и силы.
(Единственная информация, которой я воспользовался для нахождения правильной ссылки — это адрес исходной. Что мешало Вам воспользоваться гуглом? Хотя бы так?)
1. Сгенерировать случайную строчку. 1 строчка кода.
2. Записать её в куку. 1 строчка кода.
3. Вывести соответствующий тег в коде страницы. 1 строчка кода.
4. Сравнить значение из куки со значением из формы. 1 строчка кода.
И цель у csrf-токена только одна — подтвердить то, что юзер осознанно совершил действие, в отличие от sid'а.
Поздравляю, Вы изобрели csrf-токен.