CSRF対策のトークンの生成方法について

HARUYAMA Seigo @haruyama

@php_recipe 2009年に md5(uniqid(mt_rand(), TRUE)) なんて書いてる書籍は問題外だと思います.

『PHP逆引きレシピ 第2版』 @php_recipe

@haruyama どこにどのような問題がありますでしょうか？

HARUYAMA Seigo @haruyama

@php_recipe http://takagi-hiromitsu.jp/diary/20060409.html 方式もそうですが「もう一つの推奨しない理由」のほうで uniq_id()や(mt_)rand()が暗号学的に安全ではなく不適です.

『PHP逆引きレシピ 第2版』 @php_recipe

@haruyama よりよい方法があればご教示をお願いしたいです

HARUYAMA Seigo @haruyama

@php_recipe セッションIDの利用です. さらに, セッションIDの安全性を高めるためにsession.entropy_file などの設定(環境に依存します)をするのが望ましいでしょう.

HARUYAMA Seigo @haruyama

@php_recipe さらにPHP5.3以降ではsession.hash_function でhash拡張の任意のハッシュ関数が利用できるので, セッションIDの長さを長くすることができます.