YII Framework 安全防護體系深度解析：XSS、CSRF、Cookie 攻擊防範實戰

YII Framework 安全防護體系深度解析：XSS、CSRF、Cookie 攻擊防範實戰

Web 應用安全是系統設計的底線。YII 內建針對 XSS、CSRF、Cookie 竊取的三大防護機制，配置簡單且效果顯著。本文深度解析原理、配置與最佳實踐。

一、跨站腳本攻擊（XSS）防範

威脅場景

攻擊者向應用注入惡意 JavaScript/VBScript/HTML，受害者瀏覽頁面時腳本執行，竊取 Cookie、鍵盤記錄、釣魚跳轉等。

YII 方案：CHtmlPurifier（基於 HTMLPurifier）

通過白名單機制過濾 HTML，保留安全標籤屬性，剔除腳本、事件處理器、危險 CSS 等。

使用方式

<?php $this->beginWidget('CHtmlPurifier'); ?>
    <!-- 此處顯示用戶輸入內容，如評論、文章 -->
    <?php echo $userComment; ?>
<?php $this->endWidget(); ?>

也可作為過濾器掛載到控制器：

public function filters() {
    return array(
        array('CHtmlPurifier'),  // 全局過濾輸出
    );
}

二、跨站請求偽造（CSRF）防範

威脅場景

用戶登錄受信站點 A，訪問惡意站點 B，B 頁面隱藏表單/圖片向 A 發起帶 Cookie 的請求（如轉賬、改密），利用用戶在 A 的身份執行敏感操作。

核心防護原則

• GET 請求**嚴禁**修改服務器狀態（只讀）
• POST 請求攜帶不可預測的隨機 Token，服務端驗證 Token 有效性

YII 實現：自動 Token 驗證

1. 啟用配置：

   'components' => array(
       'request' => array(
           'enableCsrfValidation' => true,
       ),
   ),

2. 視圖中使用 CHtml::form()：

   <?php echo CHtml::form(); ?>
       <!-- 表單字段 -->
   <?php echo CHtml::endForm(); ?>

   框架自動在表單內插入隱藏字段 YII_CSRF_TOKEN，提交時自動驗證。

3. AJAX 請求處理：需手動附加 Token

   $.ajax({
       url: '/post/delete',
       type: 'POST',
       data: { id: 123, YII_CSRF_TOKEN: 'request->csrfToken; ?>' },
       success: ...
   });

三、Cookie 攻擊防範

威脅向量

• Session ID 存儲在 Cookie → 被竊取 = 帳號劫持
• XSS 觸發任意腳本讀取 Cookie
• 中間人攻擊攔截明文傳輸

通用防護策略

1. 全站 HTTPS，Cookie 設置 Secure 標誌
2. 設置 HttpOnly 防止 JavaScript 讀取
3. 縮短 Cookie 過期時間，定期輪換 Session ID
4. 防範 XSS（見第一節）
5. Cookie 內容完整性校驗

YII 實現：Cookie 驗證機制（HMAC 簽名）

1. 啟用配置：

   'components' => array(
       'request' => array(
           'enableCookieValidation' => true,
       ),
   ),

2. 統一使用框架 Cookie API（禁用 $_COOKIE 直接讀寫）：

   // 讀取
   $cookie = Yii::app()->request->cookies['name'];
   $value = $cookie->value;
   
   // 寫入
   $cookie = new CHttpCookie('name', 'value');
   $cookie->expire = time() + 3600;
   $cookie->httpOnly = true;
   Yii::app()->request->cookies['name'] = $cookie;

   框架自動為 Cookie 值計算 HMAC 簽名，讀取時驗證完整性，篡改即失效。

四、生產環境安全清單

五、相關專題延伸

• YII Framework 框架教程之日誌用法詳解
• YII Framework 框架教程之緩存用法詳解
• YII Framework 框架教程之國際化實現方法
• YII Framework 框架使用 YIIC 快速創建 YII 應用詳解