PHP-Backend-Design: Untersuchung von Sicherheit und Berechtigungskontrolle

Mit der Popularität des Internets und von Webanwendungen ist PHP zu einer der beliebtesten Backend-Sprachen geworden. Die Entwicklung des PHP-Backends bringt jedoch sehr wichtige Sicherheits- und Berechtigungskontrollprobleme mit sich.

In diesem Artikel befassen wir uns mit der Sicherheit und Berechtigungskontrolle im PHP-Backend-Design und stellen spezifische Codebeispiele bereit, um den Lesern ein besseres Verständnis dieser Probleme zu ermöglichen.

1. Sicherheitsprobleme

Wenn es um PHP-Sicherheitsprobleme geht, geht es vor allem um folgende Aspekte:

1. SQL-Injection-Angriff

SQL-Injection ist eine Methode, die Schwachstellen in Webanwendungen ausnutzt und manipuliert werden kann. Eine Angriffsmethode die SQL-Abfrageeingaben verwendet, um Daten zu manipulieren oder anzuzeigen. Um SQL-Injection-Angriffe zu vermeiden, müssen wir uns beim Schreiben von Code schützen.

Das Folgende ist ein einfaches SQL-Injection-Beispiel:

$username = $_POST['username'];

$sql = "SELECT * FROM user WHERE username='$username'";

In diesem Beispiel kann der Angreifer die Benutzereingabe umgehen, indem er ' oder 1=1 -- eingibt und die Daten der gesamten Benutzertabelle erhält . Um dies zu verhindern, müssen wir vorbereitete Anweisungen in PHP verwenden. ' or 1=1 -- 的方式来绕过用户输入的内容，并获取到整张用户表的数据。为了防止这种情况发生，我们需要用到PHP中的预处理语句。

修改后的示例代码如下：

$username = $_POST['username'];

$stmt = $pdo->prepare("SELECT * FROM user WHERE username=?");
$stmt->execute([$username]);

$user = $stmt->fetch();

这个示例中，我们使用了PDO中的预处理语句，将用户输入的内容与SQL语句分离开来。这样可以有效地避免SQL注入的攻击。

2. XSS攻击

XSS攻击是一种利用Web应用程序的漏洞，攻击者可以将HTML标签或JavaScript代码注入到用户浏览器中的技术。为了避免XSS攻击，我们需要使用htmlspecialchars()函数来过滤用户输入的内容。

以下是一个简单的XSS攻击示例：

echo "Welcome, " . $_GET['username'] . "!";

攻击者可以传递一个JavaScript代码作为username的参数，例如：http://localhost/welcome.php?username=<script>alert("XSS!")</script>

Der geänderte Beispielcode lautet wie folgt:

echo "Welcome, " . htmlspecialchars($_GET['username'], ENT_QUOTES, 'UTF-8') . "!";

In diesem Beispiel verwenden wir die vorbereiteten Anweisungen in PDO, um den Benutzereingabeinhalt von der SQL-Anweisung zu trennen. Dadurch können SQL-Injection-Angriffe wirksam vermieden werden.

XSS-Angriff

XSS-Angriff ist eine Technik, die Schwachstellen in Webanwendungen ausnutzt und es Angreifern ermöglicht, HTML-Tags oder JavaScript-Code in den Browser des Benutzers einzuschleusen. Um XSS-Angriffe zu vermeiden, müssen wir die Funktion htmlspecialchars() verwenden, um Benutzereingaben zu filtern.

Das Folgende ist ein einfaches XSS-Angriffsbeispiel:

<!-- 在攻击者的网站上 -->
<img  src="/static/imghw/default1.png"  data-src="http://localhost/delete.php?id=1"  class="lazy" alt="PHP-Backend-Design: Untersuchung von Sicherheit und Berechtigungskontrolle" >

Der Angreifer kann einen JavaScript-Code als Benutzernamenparameter übergeben, zum Beispiel: http://localhost/welcome.php?username=<script>alert( " XSS!")</script>, sodass im Browser des Benutzers ein Warnfeld angezeigt werden kann.

Um dies zu vermeiden, müssen wir die Funktion htmlspecialchars() verwenden, um den vom Benutzer eingegebenen Inhalt zu filtern. Der geänderte Code lautet wie folgt:

<!-- 在表单中添加CSRF令牌 -->
<form action="delete.php" method="POST">
  <input type="hidden" name="token" value="<?php echo md5(session_id()); ?>">
  <input type="hidden" name="id" value="1">
  <button type="submit" class="btn btn-danger">删除</button>
</form>

In diesem Beispiel verwenden wir die Funktion htmlspecialchars(), um den vom Benutzer eingegebenen Inhalt zu filtern, sodass XSS-Angriffe vermieden werden können.

CSRF-Angriff

Ein CSRF-Angriff ist eine Art von Schwachstelle, die eine Webanwendung ausnutzt. Ein Angreifer kann eine Seite oder URL erstellen, die es Benutzern ermöglicht, ohne ihr Wissen bestimmte Aktionen auszuführen. Um CSRF-Angriffe zu vermeiden, müssen wir CSRF-Token oder die gleiche Ursprungsrichtlinie verwenden.

1. Das Folgende ist ein Beispiel für einen einfachen CSRF-Angriff:

if (! check_user_permission('admin')) {
  die("Permission denied!");
}

// 进行敏感操作

Der Angreifer lässt den Benutzer diese Seite besuchen, indem er eine E-Mail an den Benutzer sendet oder einen Blog-Beitrag veröffentlicht. Diese Seite löscht den Datensatz mit der ID 1 ohne Wissen des Benutzers.

Um dies zu vermeiden, müssen wir ein CSRF-Token oder eine Same-Origin-Richtlinie verwenden. Der Beispielcode lautet wie folgt:

// 用户与角色映射关系
$users = [
  'Alice' => ['admin'],
  'Bob' => ['editor'],
  'Charlie' => ['editor', 'viewer'],
];

// 检查当前用户的角色
function get_user_roles($username) {
  global $users;
  return $users[$username] ?? [];
}

// 检查用户是否有权限
function check_user_permission($username, $permission) {
  $roles = get_user_roles($username);
  foreach ($roles as $role) {
    if (isset($permissions[$role]) && $permissions[$role][$permission]) {
      return true;
    }    
  }
  return false;
}

// 定义角色与权限映射关系
$permissions = [
  'admin' => ['create', 'update', 'delete'],
  'editor' => ['create', 'update'],
  'viewer' => ['view'],
];

// 检查用户是否有权限
if (!check_user_permission('Alice', 'delete')) {
  die("Permission denied!");
}

// 进行敏感操作

In diesem Beispiel verwenden wir ein CSRF-Token, um zu verhindern, dass böswillige Angreifer Seiten oder URLs erstellen, um unser System anzugreifen.

2. Probleme mit der Berechtigungskontrolle

2. Bei Problemen mit der PHP-Berechtigungskontrolle geht es vor allem um folgende Aspekte:

Authentifizierung

Um die Sicherheit des Systems zu gewährleisten, muss die Identität des Benutzers authentifiziert werden. Vor der Verarbeitung vertraulicher Vorgänge ist eine Authentifizierung erforderlich.

Der Beispielcode lautet wie folgt:

rrreee

In diesem Beispiel verwenden wir die Funktion check_user_permission(), um zu überprüfen, ob der Benutzer die Berechtigung zum Betrieb hat. Wenn der Benutzer keine Berechtigung hat, wird der Vorgang abgebrochen.

🎜Rollenkontrolle🎜🎜🎜 Verschiedene Benutzer im System benötigen möglicherweise unterschiedliche Berechtigungen und Betriebsbereiche. Um diese Art der Berechtigungskontrolle zu erreichen, wird üblicherweise eine Rollenkontrollmethode verwendet. 🎜🎜Der Beispielcode lautet wie folgt: 🎜rrreee🎜In diesem Beispiel definieren wir die Zuordnungsbeziehung zwischen Rollen und Berechtigungen und verwenden die Funktion check_user_permission(), um zu überprüfen, ob der Benutzer über eine Betriebsberechtigung verfügt. Wenn der Benutzer keine Berechtigung hat, wird der Vorgang abgebrochen. 🎜🎜Das Obige ist eine Diskussion über Sicherheits- und Berechtigungskontrollprobleme im PHP-Backend-Design. Wir empfehlen Entwicklern, ihre Kenntnisse und ihr Verständnis für diese Probleme während des eigentlichen Entwicklungsprozesses zu verbessern und sich beim Schreiben von Code an die Best Practices für Sicherheit und Berechtigungskontrolle zu halten. 🎜🎜Wenn Sie weitere Fragen haben oder weitere Hilfe benötigen, können Sie sich gerne an uns wenden. 🎜

Das obige ist der detaillierte Inhalt vonPHP-Backend-Design: Untersuchung von Sicherheit und Berechtigungskontrolle. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!