随着互联网的发展，各种新型网络攻击层出不穷。其中，http劫持攻击成为越来越多 web 应用程序的威胁。http劫持攻击是指攻击者通过各种方式，获取用户在 http 请求过程中的数据，或者篡改 http 响应，被劫持的用户会被重定向到一个虚假的网站，或者下载恶意软件。使用 php 预防 http 劫持攻击成为了网站安全工作的重要方法。下面介绍使用 php 预防 http 劫持攻击的常见方法。
1.使用 HTTPS
HTTPS 可以保证传输过程中的数据加密，防止HTTP传输过程中的信息被劫持或者篡改。HTTPS 可以使用 TLS/SSL 协议加密 HTTP 协议传输内容。使用 HTTPS 需要部署证书。 站点的 SSL 证书从证书颁发机构 (CA) 得到。如果你不使用 CA 颁发的证书，则需要向用户分发自己的根证书，否则用户在使用 HTTPS 访问你的网站时，会弹出证书不受信任的提示。
2.使用 HTTPOnly Cookie
HTTPOnly Cookie 可以防止 cookie 被 JavaScript 脚本获取，以此避免一些 ticket 、session id 泄露的风险。HTTPOnly Cookie 是为了防止 Cross-Site Cookie Theft ( CSRF ) 攻击而设计的。HTTPOnly 和 Secure Cookie 属性可以通过 PHP 内置函数 setcookie() 来设置。
立即学习“PHP免费学习笔记（深入）”；
3.使用 CSRF Token 和 Referer 校验
在服务器端验证 HTTP 请求，对于 CSRF 攻击是非常有效的。可以生成一个 CSRF Token，插入 HTML form、AJAX request 请求头部，验证 POST 的请求。还可以验证 Referer 是否与发出请求的页面相同，来判断请求是否来自合法渠道。需要特别注意的是，Referer 校验不适用于所有场景，例如浏览器可能会禁用 Referer，造成无法从中获取 Referer 信息。因此开发人员需要权衡利弊，根据实际情况来决定是否使用 Referer 校验。
4.使用输入校验
输入校验是防范 HTTP 劫持攻击的一个重要方法，可以防止攻击者通过输入一些有害的数据，如 JavaScript 代码、SQL 语句、命令等，来达到攻击目的。输入校验可以通过内置函数如 htmlspecialchars()、addslashes()，也可以使用 PHP 的正则表达式匹配等方法来实现。
总结
对于 Web 应用程序来说，安全是至关重要的。使用 PHP 来预防 HTTP 劫持攻击是一种经济、实际的方法。开发者应该对 HTTP 劫持攻击有足够的了解，在开发 PHP 代码时，应该充分考虑安全问题，不断加强安全性做好防范。只有这样，我们的 Web 应用程序在接受 HTTP 请求时才更加安全可靠。
