PHP コードインジェクションの脆弱性を防御する方法

PHP コード インジェクションの脆弱性に対する防御方法

はじめに:
PHP 開発者は、ハッカーによって悪用される脆弱性、つまり PHP コード インジェクションの脆弱性に遭遇することがよくあります。この脆弱性では、ハッカーがユーザーが入力したデータに悪意のあるコードを挿入することでサーバーを制御します。当社の Web サイトとユーザーのセキュリティを保護するには、いくつかの防御方法を理解し、実装する必要があります。この記事では、PHP コード インジェクションの脆弱性に対する一般的な防御方法をいくつか紹介し、関連するコード例を示します。

1. 入力フィルタリング
   入力フィルタリングは、PHP コード インジェクションの脆弱性を防ぐための主な手段です。ユーザー入力をフィルタリングすることで、悪意のあるコードの挿入を防ぐことができます。以下は、単純な入力フィルタリング関数の例です:

function filter_input($input) {
    $input = trim($input);
    $input = stripslashes($input);
    $input = htmlspecialchars($input);
    // 可以根据具体需求添加其他过滤函数
    return $input;
}

上の例では、trim 関数を使用してユーザー入力 stripslashes# からスペースを削除します。 # #関数はバックスラッシュを削除し、htmlspecialchars関数は特殊文字を HTML エンティティに変換します。これらのフィルタリング プロセスにより、最も一般的なコード インジェクション攻撃を防ぐことができます。

データベース クエリの前処理
2. もう 1 つの一般的な PHP コード インジェクションの脆弱性は、悪意のあるデータベース クエリ ステートメントを構築することによって発生します。このような脆弱性を防ぐには、準備されたステートメントを使用する必要があります。データベース クエリの前処理に PDO を使用する例を次に示します。
   

$conn = new PDO("mysql:host=localhost;dbname=myDB", $username, $password);
$stmt = $conn->prepare("SELECT * FROM users WHERE username = :username");
$stmt->bindParam(':username', $username);
$stmt->execute();

上記の例では、パラメータ化されたクエリを使用し、ユーザーが入力した値をクエリ ステートメントにバインドすることで、SQL インジェクション攻撃を防ぎます。このアプローチでは、データベース クエリの実行時に入力値をコマンドではなくデータとして扱うことでセキュリティが向上します。

ユーザー入力の検証と制限
3. ユーザー入力のフィルタリングと準備されたステートメントの使用に加えて、ユーザー入力の検証と制限も行う必要があります。検証を通じて有効なデータが入力されていることを確認し、制限を通じて長すぎるデータや要件を満たさないデータの入力を防ぐことができます。簡単な例を次に示します。
   

if (isset($_POST['username']) && isset($_POST['password'])) {
    $username = filter_input($_POST['username']);
    $password = filter_input($_POST['password']);
    
    // 验证用户名和密码的长度
    if (strlen($username) < 6 || strlen($username) > 20) {
        echo 'Invalid username length';
        exit;
    }
    if (strlen($password) < 8 || strlen($password) > 20) {
        echo 'Invalid password length';
        exit;
    }
    
    // 执行登录逻辑
    // ...
}

上の例では、

strlen 関数を使用してユーザー名とパスワードの長さを確認し、長さを 6 ～ 20 に制限しました。間。これにより、短すぎたり長すぎたりするデータが入力されるのを防ぎます。

概要:

PHP コード インジェクションの脆弱性は一般的なセキュリティ脅威ですが、入力フィルタリング、データベース クエリの前処理、およびユーザー入力を制限する検証によって効果的に防止できます。上記は一般的に使用される防御方法の例ですが、絶対的なセキュリティを保証するものではありません。 Web サイトとユーザーのセキュリティをより適切に保護するために、開発者はセキュリティの知識を継続的に学習して更新し、リスクを軽減するために適切なセキュリティ ソリューションを採用する必要があります。


以上がPHP コードインジェクションの脆弱性を防御する方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。