PHP API 개발에서 최고의 보안 구성 및 매개변수 확인 사례-PHP 튜토리얼-php.cn

PHP API 개발에서 최고의 보안 구성 및 매개변수 확인 사례

PHPz

풀어 주다： 2023-06-17 13:08:01

원래의

1694명이 탐색했습니다.

인터넷 리소스에 대한 사람들의 수요가 계속 증가함에 따라 점점 더 많은 회사가 비즈니스를 외부 세계에 개방하고 제3자의 사용과 요청을 받아들이기 시작했습니다. 이때 API 인터페이스는 내부 시스템과 외부 사용자 사이의 가교 역할을 합니다. 따라서 API 개발 프로세스에서는 보안을 보장하는 것이 특히 중요합니다. PHP API 개발에서 최상의 보안 구성 및 매개변수 확인 방법은 인터페이스 보안을 보장하는 최선의 방법입니다.

1. API 보안 문제 이해

API의 구현 아이디어는 기본적으로 "개방형" 설계입니다. 그렇다면 문제는 API 설계를 공개하면서 어떻게 시스템 보안을 보장할 수 있느냐는 것입니다. 주로 다음 세 가지 사항을 고려할 수 있습니다.

권한 제어: API를 사용하는 사용자는 합법적인 사용자만 액세스할 수 있도록 인증 및 승인을 받아야 합니다.
매개변수 확인: 사용자가 API에 제출한 매개변수를 확인하여 해당 매개변수가 유효한지 확인해야 합니다. 검증 프로세스에서는 매개변수를 검증하여 신뢰성과 정확성을 보장할 수 있습니다.
데이터 암호화: 특히 민감한 데이터의 경우 전송 전에 암호화가 필요합니다. 이는 일반적으로 HTTPS를 사용하여 구현됩니다.

2. 올바른 보안 구성

PHP 안전 모드 활성화

PHP에는 해커가 스크립트를 업로드하는 것을 방지할 수 있는 안전 모드가 내장되어 있습니다(안전 모드는 PHP 5.2.2의 기능이며 더 이상 사용되지 않음). 다른 방법으로 서버를 공격하세요. 안전 모드에 포함된 설정에는 exec, system, popen, passthru, shell_exec 및 기타 기능 호출 금지, PHP_INI_USER 변수 수정 금지 등이 포함됩니다.

그러나 서버 효율성을 높이기 위해 많은 프로덕션 서버에서 PHP 안전 모드를 꺼 놓았습니다. 현재 시스템 보안을 보호하기 위해 다른 방법을 사용할 수 있습니다.

알 수 없는 파일 형식 거부

제안은 작은 예를 통해 설명할 수 있습니다. 예를 들어 업로드가 허용된 파일 형식만 통과할 수 있는지 확인해야 하고 다른 파일 형식은 업로드를 거부해야 합니다. . 일반적으로 MIME 헤더를 사용하여 파일 형식을 확인합니다.

외부 호출을 허용하는 것은 금지되어 있습니다.

민감한 특정 API 또는 SDK에 대한 외부 호출을 허용하는 것은 금지되어 있습니다. 해결 방법은 다음과 같습니다.

/etc/apache2/apache2.conf

< 디렉터리 /var/www/html /Appcenter/webservice/>

 Order deny,allow    
 Deny from all    
 </Directory>

로그인 후 복사

원격 파일 포함 비활성화

원격 파일 포함(RFI) 기능이 켜져 있지 않은지 확인하세요. 이 기능을 사용하면 사용자는 URL을 통해 파일을 동적으로 포함할 수 있으며 이는 매우 심각한 보안 취약점을 야기합니다.

3. 매개변수 확인

문자열 길이: 입력 길이를 제한하려면 양식 또는 사용자가 데이터를 입력한 후 특별히 결정해야 합니다. 문자 길이가 한도를 초과하는 경우 프롬프트를 표시해야 합니다.
콘텐츠 유형: 어떤 경우에는 업로드된 파일의 콘텐츠 유형을 제한해야 합니다. 여기서 주의할 점은 파일 이름 접미사만 확인하는 것이 아닙니다. 파일 형식이 접미사를 위조하여 이 검사를 무효화할 수 있기 때문입니다.
이메일 형식: 입력된 이메일을 확인해야 하는 API에서는 "filter_var" 함수를 사용하여 이메일 형식이 올바른지 확인해야 합니다. 형식이 올바르지 않으면 오류 메시지가 표시되어야 합니다.

4. 데이터 암호화