Sécurité des sites Web PHP : Comment empêcher l'injection de code malveillant ?-tutoriel php-php.cn

Sécurité des sites Web PHP : Comment empêcher l'injection de code malveillant ?

PHPz

Libérer： 2023-08-26 10:52:01

original

1526 Les gens l'ont consulté

Sécurité des sites Web PHP : Comment empêcher linjection de code malveillant ?

Sécurité des sites Web PHP : Comment empêcher l'injection de code malveillant ?

Avec le développement d'Internet, la sécurité des sites Web est devenue un enjeu sérieux. L'injection de code malveillant est l'une des méthodes d'attaque courantes. Son objectif est d'obtenir des informations sensibles des utilisateurs ou d'endommager le site Web en entrant un code malveillant dans le site Web. Cet article présentera quelques mesures pour empêcher l’injection de code malveillant et fournira des exemples de code.

Validation et filtrage des entrées
La validation des entrées est l'un des moyens de base pour empêcher l'injection de code malveillant. Utilisez les fonctions intégrées de PHP pour vérifier et filtrer les données saisies par l'utilisateur afin de garantir que les données d'entrée sont conformes au format et au type attendus. Voici quelques fonctions de vérification et de filtrage couramment utilisées :

filter_var() La fonction peut vérifier et filtrer différents types de données, telles que les adresses e-mail, les URL, les entiers, etc. La fonction filter_var()函数可以校验和过滤各种类型的数据，如邮箱地址、URL、整数等。

$email = $_POST['email'];
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    // 邮箱地址不合法，进行相应处理
}

Copier après la connexion

preg_match()函数可用于使用正则表达式对数据进行匹配检查。

$username = $_POST['username'];
if (!preg_match("/^[a-zA-Z0-9]*$/", $username)) {
    // 用户名包含非法字符，进行相应处理
}

Copier après la connexion

转义输出
转义输出是另一项重要的防范恶意代码注入的措施。当用户输入的数据需要在网页的可见部分进行输出时，要使用合适的转义函数对数据进行处理，以避免恶意代码被执行。以下是一些常用的转义函数：

htmlspecialchars()函数可将特殊字符转换为HTML实体，防止脚本被执行。

$username = $_POST['username'];
echo "Welcome, " . htmlspecialchars($username) . "!";

Copier après la connexion

mysqli_real_escape_string()函数可用于对SQL查询中的特殊字符进行转义，以防止SQL注入攻击。

$username = $_POST['username'];
$password = $_POST['password'];

$username = mysqli_real_escape_string($conn, $username);
$password = mysqli_real_escape_string($conn, $password);

$sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";

Copier après la connexion

使用预处理语句
使用预处理语句是防范SQL注入的一种高级方法。预处理语句能够将SQL查询和参数分开处理，避免了恶意代码注入的风险。以下是一个使用预处理语句的示例：

$username = $_POST['username'];
$password = $_POST['password'];

$stmt = $conn->prepare("SELECT * FROM users WHERE username=? AND password=?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    // 用户名和密码匹配，进行相应处理
}

Copier après la connexion

限制权限和安全配置
除了对用户输入进行验证和过滤外，还应限制代码的执行权限和进行安全配置。以下是一些常见的措施：

使用chmod命令设置网站目录的权限，只赋予必要的写权限，避免恶意代码的写入和执行。
在PHP配置文件中禁用allow_url_fopen和allow_url_include
preg_match() peut être utilisée pour vérifier les correspondances des données à l'aide d'expressions régulières.

rrreee

htmlspecialchars()

mysqli_real_escape_string()

chmod

allow_url_fopen

allow_url_include

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!