PHP学習メモ：セキュリティと防御対策-PHPチュートリアル-php.cn

PHP学習メモ：セキュリティと防御対策

WBOY

リリース： 2023-10-09 15:04:02

オリジナル

1142 人が閲覧しました

PHP学習メモ：セキュリティと防御対策

PHP 学習ノート: セキュリティと防御対策

はじめに:
今日のインターネットの世界では、セキュリティは、特に Web アプリケーションにとって非常に重要です。一般的に使用されるサーバーサイドスクリプト言語として、PHP のセキュリティは開発者が常に注意を払う必要がある側面です。この記事では、PHP における一般的なセキュリティ問題をいくつか紹介し、いくつかの防御策のサンプルコードを提供します。

1. 入力検証
入力検証は、Web アプリケーションのセキュリティを保護するための最初の防御線です。 PHP では通常、ユーザーが入力したデータが合法的で安全であることを確認するために、フィルタリングと検証技術を使用します。

filter_var() 関数の使用など、フィルタリングおよび検証関数を通じて入力データを処理します。
コード例:
```
$username = filter_var($_POST['username'], FILTER_SANITIZE_STRING);
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
```
ログイン後にコピー
Pairユーザー名とパスワードの長さの範囲の指定など、ユーザー入力に対する厳格な制限:
コード例:
```
if (strlen($username) < 6 || strlen($username) > 20) {
echo "用户名长度必须在6到20之间";
}
```
ログイン後にコピー

2. XSS 攻撃防御
クロスサイトスクリプティング攻撃 ( XSS) は、Web アプリケーションによるユーザー入力データの不適切な処理を悪用して、ユーザーのブラウザ上で悪意のあるスクリプトを実行する一般的な攻撃方法です。 XSS 攻撃を防御する方法は次のとおりです。

htmlspecialchars() 関数を使用して出力をエスケープします。
コード例:
```
echo htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8');
```
ログイン後にコピー
コンテンツセキュリティポリシー (CSP) を使用して、外部リソースの読み込みを制限し、悪意のあるスクリプトの挿入を防ぎます:
コード例:
```
header("Content-Security-Policy: script-src 'self'");
```
ログイン後にコピー

3. SQL インジェクション防御
SQL インジェクションとは、攻撃者が悪意を持って構築された文字シーケンスを通じてデータベースクエリステートメントを改ざんし、Web アプリケーション上で悪意のある操作を実行することを指します。 SQL インジェクションを防ぐいくつかの方法を次に示します。

プリペアドステートメント (プリペアドステートメント) を使用してパラメータをバインドします:
コード例:
```
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->bindParam(':username', $username);
$stmt->execute();
```
ログイン後にコピー
PDO の quote() 関数を使用してパラメータをエスケープします:
コード例:
```
$username = $pdo->quote($_POST['username']);
$query = "SELECT * FROM users WHERE username = $username";
```
ログイン後にコピー

4. ファイルアップロードのセキュリティ
ファイルアップロード機能は Web アプリケーションです共通機能プログラム内で。ただし、悪意のあるユーザーは、悪意のあるスクリプトを含むファイルをアップロードする可能性があります。ファイルアップロードのセキュリティ問題を防ぐいくつかの方法を次に示します。

アップロードされたファイルのサフィックス名を確認します。
コード例:

$allowedExtensions = ['jpg', 'png', 'gif'];
$filename = $_FILES['file']['name'];
$ext = pathinfo($filename, PATHINFO_EXTENSION);
if (!in_array($ext, $allowedExtensions)) {
 echo "文件类型不允许";
}

ログイン後にコピー

ユーザーがアップロードしたファイルへの直接アクセスを避けるために、アップロードされたファイルを隔離されたディレクトリに保存します:
コード例:
```
$filename = uniqid().'.'.$ext;
move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/'.$filename);
```
ログイン後にコピー

5. セッション管理のセキュリティ
セッション管理Web アプリケーションの重要なコンポーネント。以下に、セッション管理のセキュリティ対策のいくつかを示します。

悪意のあるスクリプトによる取得を避けるために、セッション ID を HttpOnly Cookie に保存します。
コード例:
```
session_set_cookie_params(['httponly' => true]);
session_start();
```
ログイン後にコピー

セッションハイジャックを回避するためにセッション ID を定期的に更新します:
コードサンプル:

session_start();
if (isset($_SESSION['LAST_ACTIVITY']) && (time() - $_SESSION['LAST_ACTIVITY'] > 3600)) {
  session_regenerate_id(true);
}
$_SESSION['LAST_ACTIVITY'] = time();

ログイン後にコピー

概要:
上記のいくつかのセキュリティ問題と防御策を介して、PHP Web アプリケーションのセキュリティを強化できます。ただし、セキュリティは継続的なプロセスであり、開発者は進化し変化するセキュリティの脅威に対応するために知識を学習し、更新し続ける必要があります。同時に、Web アプリケーションのセキュリティを向上させるために、公式 PHP ドキュメントに記載されているセキュリティのベストプラクティスの推奨事項にも注意を払う必要があります。

以上がPHP学習メモ：セキュリティと防御対策の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。