安全性の高い PHP Web サイトを作成するためのいくつかの実践的なポイント、安全な PHP の実践的なポイント

安全性の高い PHP Web サイトを作成するためのいくつかの実践的なポイント、安全な PHP の実践的なポイント_PHP チュートリアル

WBOY

リリース： 2016-07-13 10:10:26

オリジナル

699 人が閲覧しました

安全性の高いPHPウェブサイトを作るための実践的なポイント、安全なPHPのための実践的なポイント

PHP が現在最も人気のある Web アプリケーションプログラミング言語であることは誰もが知っています。しかし、他のスクリプト言語と同様に、PHP にもいくつかの危険なセキュリティホールがあります。したがって、このチュートリアルでは、一般的な PHP セキュリティ問題を回避するのに役立ついくつかの実践的なヒントを見ていきます。

ヒント 1: 適切なエラー報告を使用する

一般に、開発プロセス中、多くのプログラマは常にプログラムエラーのレポートを作成することを忘れます。これは大きな間違いです。なぜなら、適切なエラーレポートは最良のデバッグツールであるだけでなく、優れたセキュリティ脆弱性の検出ツールでもあるからです。アプリケーションをオンラインにする前に、発生する問題をできる限り解決してください。
もちろん、エラー報告を有効にする方法はたくさんあります。たとえば、php.in 構成ファイルで、実行時に有効になるように設定できます

バグレポートを開始
エラー報告(E_ALL);

エラー報告を無効にする
error_reporting(0);

ヒント 2: PHP の Weak 属性を使用しないでください

OFF に設定する必要がある PHP プロパティがいくつかあります。通常、これらは PHP4 に存在しますが、PHP5 では使用は推奨されません。特に PHP6 では、これらの属性が削除されました。

グローバル変数を登録する
register_globals が ON に設定されている場合、Environment、GET、POST、COOKIE または Server 変数がグローバル変数として定義されている設定と同じになります。現時点では、フォーム変数「username」を取得するために $_POST['username'] を記述する必要はありません。この変数を取得するには、「$username」だけが必要です。
register_globals を ON に設定すると、非常に便利なメリットがあるので、それを使用しないのではないかと考えているはずです。これを行うと多くのセキュリティ上の問題が発生し、ローカル変数名と競合する可能性があるためです。
たとえば、次のコードを見てください:

コードをコピーしますコードは次のとおりです:

if( !empty( $_POST['username'] ) && $_POST['username'] == 'test123' && !empty( $_POST['password'] ) && $_POST['password'] == "pass123 ” )
{
$access = true;
}

実行時に register_globals が ON に設定されている場合、ユーザーはクエリ文字列で access=1 を渡すだけで、PHP スクリプトが実行するものを取得できます。
.htaccess のグローバル変数を非アクティブ化する

コードをコピーしますコードは次のとおりです:

php_flag register_globals 0

php.iniのグローバル変数を無効にする

コードをコピーしますコードは次のとおりです:

register_globals = オフ

magic_quotes_gpc、magic_quotes_runtime、magic_quotes_sybase などの Magic Quotes を無効にする
.htaccess ファイルに設定します

コードをコピーしますコードは次のとおりです:

php_flag magic_quotes_gpc 0
php_flag magic_quotes_runtime 0

php.iniで設定します

コードをコピーしますコードは次のとおりです:

magic_quotes_gpc = オフ
magic_quotes_runtime = オフ
magic_quotes_sybase = オフ

ヒント 3: ユーザー入力を検証する

もちろん、ユーザー入力を検証することもできます。まず、ユーザーが入力すると予想されるデータ型を知っておく必要があります。このようにして、ユーザーによる悪意のある攻撃をブラウザ側で防ぐことができます。

ヒント 4: ユーザーによるクロスサイトスクリプティング攻撃を回避する

Web アプリケーションでは、フォームでユーザー入力を受け入れ、結果をフィードバックするのは簡単です。ユーザー入力を受け入れる場合、HTML 形式の入力を許可すると、JavaScript が予期しない方法で侵入して直接実行される可能性があるため、非常に危険です。このような脆弱性が 1 つでもあると、Cookie データが盗まれ、ユーザーのアカウントが盗まれる可能性があります。

ヒント 5: SQL インジェクション攻撃を防ぐ

PHP は基本的にデータベースを保護するツールを提供していないため、データベースに接続するときに次の mysqli_real_escape_string 関数を使用できます。

コードをコピーしますコードは次のとおりです:

$username = mysqli_real_escape_string( $GET['username'] );
mysql_query( "SELECT * FROM tbl_employee WHERE username = '".$username."'");

この短い記事では、開発プロセス中に無視できないいくつかの PHP セキュリティ問題について詳しく説明します。ただし、それを使用するかどうか、および使用方法を決定するのは最終的に開発者次第です。この記事があなたのお役に立てば幸いです。