Token Header Abfrage

[Cc_Cc_Cc]

Hi,

ich möchte meinen Token für jeden Ajax Request mitsenden.

Jetzt habe ich 2 Fragen dabei.

1. Habe ich es so überhaupt richtig gemacht?

2. Wie kann ich es überprüfen ob der Token valid ist?


Bsp.

 Spoiler

if($token != $jsToken) {
....
}

fetch_data.php

 Spoiler

PHP Code:

<?php
if (empty($_SESSION['token'])) {
    if (function_exists('mcrypt_create_iv')) {
        $_SESSION['token'] = bin2hex(mcrypt_create_iv(32, MCRYPT_DEV_URANDOM));
    } else {
        $_SESSION['token'] = bin2hex(openssl_random_pseudo_bytes(32));
    }
}
$token = $_SESSION['token'];
?>
<script src="../../../js/jquery.min.js"></script>
<meta name="csrf-token" content="<?= $token; ?>"/>

    <div id="output-data">
    
    </div>

<form method="POST">
    <input type="text" name="name" class="name">
    <button type="submit" class="send">Senden</button>
</form>

<script>

    $(document).ready(function() {
    
        $.ajaxSetup({
            headers: {
                'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
            }
        });
        
        $('.send').on('click', function(e) {
            e.preventDefault();
            
            var name = $('.name').attr('value');
            
            $.ajax({
                type: 'POST',
                method: 'POST',
                data: {name:name},
                url: 'name.php',
                success: function(data) {
                    $('#output-data').html(data);
                }
            });
        });
        
    });

</script>

name.php

 Spoiler

PHP Code:

    echo $_POST['X-CSRF-TOKEN'];

// Zeigt mir Undefined X-CSRF-TOKEN an // 


[False]

Da du oft Sachen fragst und ich nicht immer direkt die Lösung sagen will...

Was hast du alles schon getestet ?
Hast du geprüft ob der Header auch beim request drangehangen wird (mittels dev-tools im Browser) ?
Hast du geprüft ob dein "$('meta[name="csrf-token"]').attr('content')" wirklich den csrf-token ausgibt ?

Ebenso solltest du dir mal die basics anschauen was genau $_POST enthalten kann und was nicht :P

[Cc_Cc_Cc]

Originally Posted by .ƒaℓsє.

Da du oft Sachen fragst und ich nicht immer direkt die Lösung sagen will...

Was hast du alles schon getestet ?
Hast du geprüft ob der Header auch beim request drangehangen wird (mittels dev-tools im Browser) ?
Hast du geprüft ob dein "$('meta[name="csrf-token"]').attr('content')" wirklich den csrf-token ausgibt ?

Ebenso solltest du dir mal die basics anschauen was genau $_POST enthalten kann und was nicht :P

Hi, danke erstmal für die Antwort.

Also er gibt den csrf-token aus, jedoch weiß ich nicht wie ich mittels Dev-Tools im Browser schauen kann ob der Header per Request gesendet wird

[False]

Originally Posted by Cc_Cc_Cc

Hi, danke erstmal für die Antwort.

Also er gibt den csrf-token aus, jedoch weiß ich nicht wie ich mittels Dev-Tools im Browser schauen kann ob der Header per Request gesendet wird

Schon bei google gesucht ?
Bei Firefox ist es F12 -> Netzwerkanalyse -> Auf den Request klicken -> Rechts im Fenser die Headers durchschauen.

[Cc_Cc_Cc]

Originally Posted by .ƒaℓsє.

Schon bei google gesucht ?
Bei Firefox ist es F12 -> Netzwerkanalyse -> Auf den Request klicken -> Rechts im Fenser die Headers durchschauen.

Ja der wird mitgesendet.



Jetzt muss ich ja nur noch eine Überprüfung machen nur weiß ich nicht wie sowas gehen soll ich sende ja keine "datas" mit.

[False]

Originally Posted by Cc_Cc_Cc

Ja der wird mitgesendet.



Jetzt muss ich ja nur noch eine Überprüfung machen nur weiß ich nicht wie sowas gehen soll ich sende ja keine "datas" mit.

Wie du evtl. schon gelesen hast befinden sich in $_POST nur Sachen die durch ein POST Request als params mitgeschickt wurden.

Da du den Token aber als HEADER geschickt hast musst du auch diesen auslesen, wie das geht solltest du durchs googeln sehr fix finden (z.B. "php read request header").

[Cc_Cc_Cc]

Originally Posted by .ƒaℓsє.

Wie du evtl. schon gelesen hast befinden sich in $_POST nur Sachen die durch ein POST Request als params mitgeschickt wurden.

Da du den Token aber als HEADER geschickt hast musst du auch diesen auslesen, wie das geht solltest du durchs googeln sehr fix finden (z.B. "php read request header").

Danke genau das hab ich gesucht

Kurze Frage noch: Wenn ich jetzt beim jedem Request den Token mitsende, bin ich dann geschützt vor jegliche CSRF Angriffe oder muss ich noch was beachten? Musst mir keine Lösung geben aber will nur wissen ob das reicht oder noch etwas fehlt