postによる二重投稿の禁止するには？PHPの基本

二重投稿の禁止

今回は「トークン判定方式」で二重投稿を回避する仕組みについて学びましょう。トークン判定とは何でしょうか？

ブラウザ側とプログラム側に照合番号を与え、送信時に合っている場合だけ、処理を実行します。処理が実行できた後は、サーバーが新しい「照合番号」を再発行します。

二重投稿の禁止

トークン判定方式

F5で二重送信・重複送信される現象を防止

セッションを利用する

【参照】

PHPブラウザ更新（F5）で二重送信・重複送信される現象を防止する

セッションを利用する

まずは、セッションを利用します。

セッションは、サーバーとPCの両方に、文字列などを残せます。ちなみに、クッキーはパソコン側だけに文字列を残せます。

■ input.php ... 入力画面など
<?php
// セッションを開始する
session_start();

// ワンタイムチケットを生成する。
$ticket = md5(uniqid(rand(), true));

// 生成したチケットをセッション変数へ保存する。
$_SESSION['ticket'] = $ticket;
?>
<html>
<head>
<title>サンプル登録画面</title>
</head>
<body>
<form action="regist.php" method="POST">
<input type="text" name="UserName" value="">
<input type="submit" value="regist">

<input type="hidden" name="ticket" value="<?=$ticket?>">
</form>
</body>
</html>

■ regist.php ... 登録処理など
<?php
// セッションを開始する
session_start();

// ポストされたワンタイムチケットを取得する。
$ticket = isset($_POST['ticket']) ? $_POST['ticket'] : '';

// セッション変数に保存されたワンタイムチケットを取得する。
$save = isset($_SESSION['ticket']) ? $_SESSION['ticket'] : '';

// セッション変数を解放し、ブラウザの戻るボタンで戻った場合に備え
// る。
unset($_SESSION['ticket']);

// ポストされたワンタイムチケットの中身が空だった、または、ポス
// トすらされてこなかった場合、不正なアクセスとみなして強制終了す
// る。
if ($ticket === '') {

die('不正なアクセスです');

}

// ポストされたワンタイムチケットとセッション変数から取得したワン
// タイムチケットが同じ場合、正常にポストされたとみなして処理を行
// う。
if ($ticket === $save) {

echo 'Normal Access';

}
// ブラウザの戻るボタンで戻った場合は、セッション変数が存在しない
// ため、2重送信とみなすことができる。
// また、不正なアクセスの場合もワンタイムチケットが同じになる確率
// は低いため、不正アクセス防止にもなる。
else {

echo 'Dual Posted';

}
?>

説明

1.セッションを使いえるようにする

session_start();

これで利用できるようになります。これを書かないとスーパーグローバル変数である、$_SESSIONが使えません。

2.新しいトークンを発行できるようにする。

$ticket = md5(uniqid(rand(), true));

// 生成したチケットをセッション変数へ保存する。
$_SESSION['ticket'] = $ticket;
?>

md5()関数を使って変数を作り、$ticket に格納します。

さらに、$_SESSION['ticket'] に保存します。これで、暗号化した値を$_SESSION['ticket'] に保存できました。

二重投稿を防ぐには？？>>

random_int()関数の利用

ランダムな整数を作り出します。php7.0から使えるようになっています。

暗号学的にいうと、random_int()を利用した方が「mt_rand() 」を利用するより安全です。

random_int();

一応、mt_rand() も説明しておきます。

mt_rand() ;

利用すると、以下のような文字列が発行されます。

1604716014

【参照】

random_int()関数について>>

フォーム部分

ユーザーが送る前に、照合番号をセットします。

非表示のデータで、毎回変わる照合番号を表示させます。　hidden要素にして、見えないようにします。

こうする事で、ブラウザからの送信時に、照合番号が送られるようになります

PHPの勉強方法

目安は1日3～5時間の勉強で100日程度です。実際にやってみましたが、仕事をしながらだと、200日ほどかかります。

なぜなら、休日の家族サービス。モチベーションの低下などがあるからです。

前置きはさておき、まずは勉強方法です。

PHPを学ぶには、独自の言葉を覚える必要があります。「・」が付いているものは、外部のサイトへ飛びます。

■ 基本編 ■

PHPとは？

設定方法

PDOとは何か？

mysql_connect()

postを使ってみよう

コンストラクタとは？

-> アロー演算子とは？

データベースへのアクセスについて

■ DBへの接続■

PDOについて知ろう

■ フレームワーク ■

フレームワークは何を使ったらいいのか？

ララベルとは？

コードイグナイターとは？

オートロードとは

無名関数とは？

MVCとは何か？

■ オブジェクト指向■

クラス・インスタンス・プロパティ

オブジェクト指向とは？

【フレームワーク】

基本的には、ララベルを学ぶ方がよい。　ララベルはコンポーザー

MYSQLについて

MYSQLの学習方法について。DBの操作方法を覚えます。　四大操作をまずは覚えておきましょう。

■ 基本編 ■

MYSQLとは？

CURDについて

更新について

削除について

アップデートについて

フェッチするとは？

■ 設計について■

UMLとは何か？

ER図を覚えよう

コードイグナイターの勉強方法

コードイグナイターを学んでいきましょう。「・」が付いているものは、外部のサイトへ飛びます。

DB設定 ⇒ 接続 ⇒ SQLクエリ ⇒ DB暮クラスの機能 ⇒ 結果の取得　の順に学ぶとよい。

http://www.ci-guide.info/db/

SQLのクエリ発行には2種類がある。通常方法と、「Acive Record」の2種類です。

■ 基本編 ■

クエリ結果を作る

Active Recordとは？

クエリヘルパー関数

■ フレームワーク ■

フレームワークは何を使ったらいいのか？

ララベルとは？

コードイグナイターとは？

オートロードとは

無名関数とは？

MVCとは何か？

【参照】

http://www.ci-guide.info/

http://pneskin2.nekoget.com/codeigniter/3/user_guide/index.html

どちらかを見ましょう。

【フレームワーク】

基本的には、ララベルを学ぶ方がよい。　ララベルはコンポーザーが入っている。

勉強に必要な書籍について

必ず、最新のverを買うようにしてください。PHPはバージョンによって、かなり違います。PHP、MYSQL、、サーバー、フレームワークと幅広く勉強する必要があります。

本はかならず、2冊用意するようにしましょう。1冊は基本、もう1冊は分からない部分を補完してくれます。

ちなみに、無名関数、コールバック関数などは、何度勉強してもつまずく可能性があります。

PHPサーバーサイドプログラミング	基本から詳しく書いてあるが、ところどころ、省略されていて分かりずらい。
パーフェクトPHP	ある程度、分かってから使うとよい
基礎からのMYSQL	基本から全てが分かります。 PDOでのアクセスを学ぶのによい。
LINUXコマンド入門	サーバー、ファイル権限を学ぶのに良い。サーバーはlinuxベースで出来ているので、ここが分かると、かなり分かる。
プログラムはなぜ動くのか？	パソコンが動く、原理と基本がわかりますここが分かると、配列、ポインタなどが分かります
体型的に学ぶ完全なwebアプリケーションの作り方	XSSなどの基本的なセキュリティー対策が分かります。