PHP Cookie操作怎样防止篡改

要防止PHP Cookie被篡改，您可以采取以下措施：

1. 设置HttpOnly标志：将HttpOnly属性设置为true，可以防止客户端脚本访问Cookie，从而降低XSS攻击的风险。

setcookie("name", "value", time()+3600, "/", "", true);

2. 设置Secure标志：当使用HTTPS时，将Secure属性设置为true可以确保Cookie仅通过安全的连接发送，防止中间人攻击。

setcookie("name", "value", time()+3600, "/", "", true, true);

3. 设置SameSite属性：通过设置SameSite属性，您可以控制Cookie在跨站请求中的发送行为，从而降低CSRF攻击的风险。

setcookie("name", "value", time()+3600, "/", "", true, true, 'Strict'); // 或者使用 'Lax'

4. 对Cookie值进行签名：在设置Cookie之前，可以使用hash函数（如SHA-256）对Cookie值进行签名，然后在客户端验证签名是否与服务器端的值匹配。这样可以确保Cookie值在传输过程中未被篡改。

$cookie_value = "value";
$cookie_signature = hash("sha256", $cookie_value . $secret_key);
setcookie("name", $cookie_value, time()+3600, "/", "", true, true, 'Strict', $cookie_signature);

5. 验证Cookie签名：在处理请求时，验证客户端发送的Cookie签名是否与服务器端的签名匹配。如果不匹配，则拒绝请求。

$client_cookie_signature = $_COOKIE["name_signature"]; // 假设客户端发送的Cookie名为"name_signature"
$server_cookie_signature = hash("sha256", $_COOKIE["name"] . $secret_key);

if ($client_cookie_signature !== $server_cookie_signature) {
    // 拒绝请求或采取其他安全措施
    die("Invalid cookie signature");
}

通过采取这些措施，您可以大大降低PHP Cookie被篡改的风险。但请注意，没有绝对的安全措施，因此请始终保持警惕并定期更新您的安全策略。