Keselamatan tapak web PHP: Bagaimana untuk mengelakkan suntikan kod berniat jahat?-tutorial php-php.cn

Keselamatan tapak web PHP: Bagaimana untuk mengelakkan suntikan kod berniat jahat?

PHPz

Lepaskan： 2023-08-26 10:52:01

asal

1585 orang telah melayarinya

Keselamatan tapak web PHP: Bagaimana untuk mengelakkan suntikan kod berniat jahat?

Dengan perkembangan Internet, keselamatan laman web telah menjadi isu yang serius. Suntikan kod berniat jahat adalah salah satu kaedah serangan biasa Tujuannya adalah untuk mendapatkan maklumat sensitif pengguna atau merosakkan tapak web dengan memasukkan kod jahat ke dalam laman web. Artikel ini akan memperkenalkan beberapa langkah untuk mencegah suntikan kod berniat jahat dan memberikan contoh kod.

Pengesahan dan Penapisan Input
Pengesahan input ialah salah satu cara asas untuk mencegah suntikan kod berniat jahat. Gunakan fungsi terbina dalam PHP untuk mengesahkan dan menapis data yang dimasukkan pengguna untuk memastikan bahawa data input mematuhi format dan jenis yang diharapkan. Berikut ialah beberapa fungsi pengesahan dan penapisan yang biasa digunakan:

filter_var() Fungsi ini boleh mengesahkan dan menapis pelbagai jenis data, seperti alamat e-mel, URL, integer, dsb. Fungsi filter_var()函数可以校验和过滤各种类型的数据，如邮箱地址、URL、整数等。

$email = $_POST['email'];
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    // 邮箱地址不合法，进行相应处理
}

Salin selepas log masuk

preg_match()函数可用于使用正则表达式对数据进行匹配检查。

$username = $_POST['username'];
if (!preg_match("/^[a-zA-Z0-9]*$/", $username)) {
    // 用户名包含非法字符，进行相应处理
}

Salin selepas log masuk

转义输出
转义输出是另一项重要的防范恶意代码注入的措施。当用户输入的数据需要在网页的可见部分进行输出时，要使用合适的转义函数对数据进行处理，以避免恶意代码被执行。以下是一些常用的转义函数：

htmlspecialchars()函数可将特殊字符转换为HTML实体，防止脚本被执行。

$username = $_POST['username'];
echo "Welcome, " . htmlspecialchars($username) . "!";

Salin selepas log masuk

mysqli_real_escape_string()函数可用于对SQL查询中的特殊字符进行转义，以防止SQL注入攻击。

$username = $_POST['username'];
$password = $_POST['password'];

$username = mysqli_real_escape_string($conn, $username);
$password = mysqli_real_escape_string($conn, $password);

$sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";

Salin selepas log masuk

使用预处理语句
使用预处理语句是防范SQL注入的一种高级方法。预处理语句能够将SQL查询和参数分开处理，避免了恶意代码注入的风险。以下是一个使用预处理语句的示例：

$username = $_POST['username'];
$password = $_POST['password'];

$stmt = $conn->prepare("SELECT * FROM users WHERE username=? AND password=?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    // 用户名和密码匹配，进行相应处理
}

Salin selepas log masuk

限制权限和安全配置
除了对用户输入进行验证和过滤外，还应限制代码的执行权限和进行安全配置。以下是一些常见的措施：

使用chmod命令设置网站目录的权限，只赋予必要的写权限，避免恶意代码的写入和执行。
在PHP配置文件中禁用allow_url_fopen和allow_url_include
preg_match() boleh digunakan untuk menyemak data untuk padanan menggunakan ungkapan biasa.

rrreee

htmlspecialchars()

mysqli_real_escape_string()

chmod

allow_url_fopen

allow_url_include

Atas ialah kandungan terperinci Keselamatan tapak web PHP: Bagaimana untuk mengelakkan suntikan kod berniat jahat?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!