[php] Token wat altijd 30 min geldig is

[Rekcor]

Ik wil graag een tijdafhankelijk token genereren, nl. een token dat vanaf moment van genereren altijd 30 minuten geldig is.

Op dit moment heb ik zoiets:

PHP:

$salt = "<mystrongsalthere>";
$token = hash('sha256', $url. $salt. gmdate('m-Y-d H'));

Met als gevolg dat het token van 14:59:59 om 15:00:00 niet meer werkt. Weet iemand iets slims, of kan dit gewoon niet zonder dat je de tijd meestuurt?

[DennusB]

Kan je niet in de database gewoon bij het token opslaan tot wanneer ie geldig is?

[crisp]

Crisp's blog: CSRF protection with 'self-validating' tokens

[Rekcor]

@dennusB: goed idee!
@crisp: thanks, maar is er iets aan die achtergrondskleur van je blog te doen? mijn ogen!

Als ik Crisp's blog goed begrijp, stuurt hij de expiration date gewoon mee. Aangezien de gesalted hashed ook meekomt, is erg geen beveiligingsissue (het is gewoon een extra form fieldje).

[ Voor 46% gewijzigd door Rekcor op 27-01-2016 12:32 ]

[GlowMouse]

crisp schreef op woensdag 27 januari 2016 @ 12:25:
Crisp's blog: CSRF protection with 'self-validating' tokens

Technisch een mooie oplossing, zit erg goed in elkaar. Zelf heb ik wel eens gebruikgemaakt van een aparte webservermodule om de overhead van php te voorkomen, maar dat is niet geschikt voor elke use case.

[Barryvdh]

Rekcor schreef op woensdag 27 januari 2016 @ 12:27:
@dennusB: goed idee!
@crisp: thanks, maar is er iets aan die achtergrondskleur van je blog te doen? mijn ogen!

Als ik Crisp's blog goed begrijp, stuurt hij de expiration date gewoon mee. Aangezien de gesalted hashed ook meekomt, is erg geen beveiligingsissue (het is gewoon een extra form fieldje).

Wat is het doel van de tokens?

Je kan ook kijken naar JWT: https://jwt.io
Bijv. https://github.com/firebase/php-jwt
Daar kan je ook tokens mee signen en een expiration time meegeven.

[Cartman!]

JWT gaat net een paar stappen verder inderdaad. Enige nadeel is dat je tokens snoeilang zijn