PHP フォーム保護のヒント: 保護バックエンドスクリプトを使用する-PHPチュートリアル-php.cn

PHP フォーム保護のヒント: 保護バックエンドスクリプトを使用する

王林

リリース： 2023-06-24 09:24:01

オリジナル

661 人が閲覧しました

インターネット技術の継続的な発展により、Web フォームは Web サイトに不可欠な機能の 1 つになりました。登録、ログイン、コメント、購読のいずれの場合でも、ユーザーはこれらの機能をフォームに記入する必要があります。ただし、これは Web フォームがさまざまなセキュリティの脅威にさらされていることも意味します。これらの脅威に対応して、この記事では、Web アプリケーションの保護に役立つ PHP フォーム保護テクニックをいくつか紹介します。

クロスサイトスクリプティング攻撃 (XSS) の防止

クロスサイトスクリプティング攻撃は、Web セキュリティの一般的な脅威です。攻撃者は、悪意のあるコードの情報を挿入することでユーザーの機密性を高めます。 XSS 攻撃を防ぐために、PHP 組み込み関数 htmlspecialchars() を使用してユーザーが入力したデータをエンコードできます。例:

<?php
$name = $_POST['name'];
echo 'Hello, ' . htmlspecialchars($name);
?>

ログイン後にコピー

上記のコードでは、htmlspecialchars() はすべての特殊文字 (<、>、&、" など) を対応する HTML エンティティに変換し、XSS 攻撃を防ぎます。

ユーザー入力をチェックして制限する

#ユーザー入力には、長すぎる、短すぎる、不正な文字が含まれているなど、さまざまな不正な状況が発生する可能性があります。これらの問題を防ぐには、組み込み関数 strlen() と preg_match() は、ユーザー入力のチェックと制限に使用されます。例:

<?php
$name = $_POST['name'];
if(strlen($name) > 20) {
    echo '用户名太长';
} else if(preg_match('/[^a-z0-9]/i', $name)) {
    echo '用户名包含非法字符';
} else {
    // 用户名合法，继续执行其他操作
}
?>

ログイン後にコピー

上記のコードでは、strlen() はユーザー名の長さをチェックするために使用され、 preg_match() は、ユーザー名に不正な文字が含まれているかどうかを確認するために使用されます。ユーザー名が不正な場合は、対応するエラーメッセージが返されます。

検証コードは、ロボットツールによる悪意のある攻撃を防ぐために一般的に使用される方法です。ユーザーがフォームに記入するときに、検証コードの入力を求め、ユーザー入力が正当であるかどうかを、 PHP GD ライブラリ例:

<?php
session_start();
if($_POST) {
    if(strtolower($_POST['captcha']) == strtolower($_SESSION['captcha'])) {
        // 验证码输入正确，继续执行其他操作
    } else {
        echo '验证码输入错误';
    }
}
$captcha = rand(1000, 9999);
$_SESSION['captcha'] = $captcha;
$img = imagecreate(50, 20);
$bg = imagecolorallocate($img, 255, 255, 255);
$fg = imagecolorallocate($img, 0, 0, 0);
imagestring($img, 5, 10, 3, $captcha, $fg);
header('Content-type: image/png');
imagepng($img);
imagedestroy($img);
?>

ログイン後にコピー

上記のコードでは、 session_start() セッションを開くために使用されます。ユーザーがフォームを送信するとき、検証コードが正しく入力されていれば、他の操作を続行します。、検証コード入力エラーメッセージを返します。captcha 変数は検証コードの内容を保存するために使用され、img 変数は検証コード画像の生成に使用されます。header() 関数は画像形式を PNG に設定するために使用されます。

SQL インジェクション攻撃は、Web セキュリティの一般的な脅威です。攻撃者は、悪意のある SQL ステートメントを挿入して、データベース内のデータを取得または改ざんします。SQL インジェクションを防ぐには攻撃を防ぐには、コマンドパラメータ化を使用して、ユーザーが入力したデータをフィルタリングできます。例:

<?php
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
$stmt->execute(array('email' => $_POST['email']));
$user = $stmt->fetch();
?>

ログイン後にコピー

上記のコードでは、$stmt 変数が使用されます。 SQL クエリ操作を実行するには、execute() 関数が使用されます。ユーザーが入力した電子メールパラメータ値を設定します。PDO コマンドのパラメータ化により、悪意のあるコードを自動的にフィルタリングして SQL インジェクション攻撃を防ぐことができます。

ファイルのアップロードは Web フォームでよく使用される機能の 1 つですが、ネットワーク攻撃のエントリポイントになる可能性もあります。アップロードされたファイルの安全性を確保するには、ウイルス対策 API を使用して、ファイルのアップロードが安全かどうかを検出できます。例:

<?php
if($_FILES) {
    $ext = pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION);
    $tmp_file = $_FILES['file']['tmp_name'];
    if(class_exists('ClamAV')) {
        $clamav = new ClamAV();
        $result = $clamav->scan($tmp_file);
        if(!$result) {
            echo '文件上传失败：包含恶意代码';
        } else {
            $filename = uniqid('file_') . '.' . $ext;
            move_uploaded_file($tmp_file, dirname(__FILE__) . '/uploads/' . $filename);
            echo '文件上传成功';
        }
    } else {
        // 若未找到Antivirus API，则提供默认处理方式
        $filename = uniqid('file_') . '.' . $ext;
        move_uploaded_file($tmp_file, dirname(__FILE__) . '/uploads/' . $filename);
        echo '文件上传成功';
    }
}
?>

ログイン後にコピー

上記のコードでは、アップロードされたファイルの拡張子を取得するために $ext 変数が使用され、アップロードされたファイルの一時パスを取得するために $tmp_file 変数が使用されます。アップロードされたファイルに悪意のあるコードが含まれていることが検出され、悪意のあるコードが含まれている場合は、対応するエラーメッセージが返されます。それ以外の場合、アップロードされたファイルは指定されたディレクトリに保存されます。

概要: 上記は、PHP フォーム保護の一部です。 Web アプリケーションのセキュリティを保護するのに役立つヒント。ただし、これらのヒントは予防策の 1 つにすぎず、Web アプリケーションのセキュリティを完全に保護するには、さらにセキュリティ対策を追加する必要があります。

以上がPHP フォーム保護のヒント: 保護バックエンドスクリプトを使用するの詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。