Use request tokens to protect POST requests from CSFR

thomascube

2009-07-15 57f0c81f2cc0518ed7ab107e16e6cadb8dfc53b0

 program/include/rcmail.php

@@ -797,6 +797,8 @@
   */
  public function kill_session()
  {
    $this->plugins->exec_hook('kill_session');
    
    rcube_sess_unset();
    $_SESSION = array('language' => $this->user->language, 'auth_time' => time(), 'temp' => true);
    rcmail::setcookie('sessauth', '-del-', time() - 60);
@@ -850,6 +852,39 @@
  
  
  /**
   * Generate a unique token to be used in a form request
   *
   * @param string Request identifier
   * @return string The request token
   */
  public function get_request_token($key)
  {
    if (!$this->request_tokens[$key])
      $_SESSION['request_tokens'][$key] = $this->request_tokens[$key] = md5(uniqid($key . rand(), true));
    
    return $this->request_tokens[$key];
  }
  
  
  /**
   * Check if the current request contains a valid token
   *
   * @param string Request identifier
   * @return boolean True if request token is valid false if not
   */
  public function check_request($key, $mode = RCUBE_INPUT_POST)
  {
    $token = get_input_value('_token', $mode);
    $valid = !(empty($token) || $_SESSION['request_tokens'][$key] != $token);
    
    if ($valid)
      unset($_SESSION['request_tokens'][$key]);
    
    return $valid;
  }
  
  
  /**
   * Create unique authorization hash
   *
   * @param string Session ID