几个月前，我的同事通过获取工作日程创建了一个日历订阅。我相信他已经通过cURL做到了。
现在我正在建立一个网站，概述今天应该完成的任务。
我想检索时间表，这样我就可以用它来显示某一天工作人员的姓名。
我在网上找到了一个教程，解释了如何在登录后获取反数据。我所做的是复制登录表单中输入字段的名称，以及名为signin[_csrf_token]的隐藏字段的名称
使用这些名称，我创建了以下代码：
<?php
$username = "myusername";
$password = "mypassword";
$url = "http://planner.a-mac.nl/employeeSchedule";
$cookie= "koekje.txt";
$token = "2e4c16f2b664f3ed01827dd38dc11d22";
$ch = curl_init();
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_COOKIEJAR, '/tmp/'.$cookie);
curl_setopt($ch, CURLOPT_COOKIEFILE, '/tmp/'.$cookie);
curl_setopt($ch, CURLOPT_POSTFIELDS, "signin[username]=" . $username ."&signin[password]=" . $password . "&signin[_csrf_token]=" . $token);
//stuur de gegevens uit het formulier door naar de link
curl_exec($ch);
//Zet de output op het scherm
if (curl_errno($ch))
{
print curl_error($ch);
//Als er een fout is geef deze dan
}
else
{
curl_close($ch);
//Sluit de link met de website
}
?>
当我用上面的代码加载我的页面时，我得到了带有错误消息的登录表单：
检测到CSRF攻击
有人能帮我解决这个问题吗？这样我就可以从网站上获得什么数据了？
我联系了我的老同事，但他说"他不知道了"。。。
CSRF令牌字段值不是固定的，而是为新创建的会话随机生成的值。您需要先对网页进行"干净"调用以获得CSRF令牌值，然后才能将用户名/密码与CSRF令牌一起POST，如：
<?php
$username = "myusername";
$password = "mypassword";
$url = "http://planner.a-mac.nl/employeeSchedule";
$cookie= "koekje.txt";
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_COOKIEJAR, '/tmp/'.$cookie);
curl_setopt($ch, CURLOPT_COOKIEFILE, '/tmp/'.$cookie);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
$response = curl_exec($ch);
if (curl_errno($ch)) die(curl_error($ch));
$doc = new DOMDocument();
$doc->loadHTML($response);
$token = $doc->getElementById("signin__csrf_token")->attributes->getNamedItem("value")->value;
curl_setopt($ch, CURLOPT_RETURNTRANSFER, false);
curl_setopt($ch, CURLOPT_POST, true);
$params = array(
'signin[username]' => $username,
'signin[password]' => $password,
'signin[_csrf_token]' => $token
);
curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($params));
curl_exec($ch);
if (curl_errno($ch)) print curl_error($ch);
curl_close($ch);
?>
CSRF防御背后的理念是为每个页面加载生成一个唯一的令牌，您必须将其与表单一起传递。
您必须用表单加载页面，从页面中提取令牌，并将其与POST请求一起传递。通常，在任何尝试之后，令牌都会失效，您必须再次请求表单以获取新令牌。
CSRF令牌存储在会话中，因此服务器可以查看在表单上生成的令牌是否与发送表单的请求所提供的令牌匹配。
我有一种感觉，你应该添加这样的令牌：
$headers[] = 'X-CSRF-Token:' . $token;
curl_setopt($ch, CURLOPT_HTTPHEADER, $headers);