整理一些PHP开发安全问题
整理一些PHP开发安全问题
php给了开发者极大的灵活性,但是这也为安全问题带来了潜在的隐患,近期需要总结一下以往的问题,在这里借翻译一篇文章同时加上自己开发的一些感触总结一下。
简介
当开发一个互联网服务的时候,必须时刻牢记安全观念,并在开发的代码中体现。PHP脚本语言对安全问题并不关心,特别是对大多数没有经验的开发者来说。每当你讲任何涉及到钱财事务等交易问题时,需要特别注意安全问题的考虑,例如开发一个论坛或者是一个购物车等。
安全保护一般性要点
不相信表单
对于一般的Javascript前台验证,由于无法得知用户的行为,例如关闭了浏览器的javascript引擎,这样通过POST恶意数据到服务器。需要在服务器端进行验证,对每个php脚本验证传递到的数据,防止XSS攻击和SQL注入
不相信用户
要假设你的网站接收的每一条数据都是存在恶意代码的,存在隐藏的威胁,要对每一条数据都进行清理
关闭全局变量
在php.ini文件中进行以下配置:
register_globals = Off
如果这个配置选项打开之后,会出现很大的安全隐患。例如有一个process.php的脚本文件,会将接收到的数据插入到数据库,接收用户输入数据的表单可能如下:
<input name="username" type="text" size="15" maxlength="64">
这样,当提交数据到process.php之后,php会注册一个$username变量,将这个变量数据提交到process.php,同时对于任何POST或GET请求参数,都会设置这样的变量。如果不是显示进行初始化那么就会出现下面的问题(参考:http://www.lai18.com/content/434606.html)
<?php// Define $authorized = true only if user is authenticatedif (authenticated_user()) { $authorized = true;}?>
此处,假设authenticated_user函数就是判断$authorized变量的值,如果开启了register_globals配置,那么任何用户都可以发送一个请求,来设置$authorized变量的值为任意值从而就能绕过这个验证。
所有的这些提交数据都应该通过PHP预定义内置的全局数组来获取,包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等,其中$_REQUEST是一个$_GET/$_POST/$_COOKIE三个数组的联合变量,默认的顺序是$_COOKIE、$_POST、$_GET。
推荐的安全配置选项
error_reporting设置为Off:不要暴露错误信息给用户,开发的时候可以设置为ON
safe_mode设置为Off
register_globals设置为Off
将以下函数禁用:system、exec、passthru、shell_exec、proc_open、popen
open_basedir设置为 /tmp ,这样可以让session信息有存储权限,同时设置单独的网站根目录
expose_php设置为Off
allow_url_fopen设置为Off
allow_url_include设置为Off
SQL注入攻击
对于操作数据库的SQL语句,需要特别注意安全性,因为用户可能输入特定语句使得原有的SQL语句改变了功能。类似下面的例子:
扩展阅读
《PHP安全编程系列》系列技术文章整理收藏
PHP安全编程系列收藏夹收藏了有关PHP安全编程方面的知识,对PHP安全编程提供学习参考
1discuz的php防止sql注入函数
2php防止xss攻击的方法
3PHP安全编程:对输出要进行转义
4PHP安全编程:过滤用户输入
5PHP安全编程:可用性与数据跟踪
6PHP安全编程:不要让不相关的人看到报错信息
7PHP安全编程:register_globals的安全性
8PHP安全编程:网站安全设计的一些原则
9PHP安全编程:关于表单欺骗提交
10PHP安全编程:HTTP请求欺骗
11PHP安全编程:不要暴露数据库访问权限
12PHP安全编程:跨站请求伪造CSRF的防御
13PHP安全编程:表单与数据安全
14PHP安全编程:从URL的语义进行攻击
15PHP安全编程:文件上传攻击的防御
16PHP安全编程:跨站脚本攻击的防御
17PHP安全编程:session固定获取合法会话
18PHP安全编程:防止SQL注入
19PHP安全编程:cookie暴露导致session被劫持
20PHP安全编程:防止源代码的暴露
21PHP安全编程:留心后门URL
22PHP安全编程:session劫持的防御
23PHP安全编程:暴力破解攻击
24PHP安全编程:密码嗅探与重播攻击
25PHP安全编程:记住登录状态的安全做法
26PHP安全编程:shell命令注入
27PHP安全编程:打开远程文件的风险
28PHP安全编程:文件目录猜测漏洞
29PHP安全编程:阻止文件名被操纵
30PHP安全编程:文件包含的代码注入攻击
31PHP安全编程:更优的会话数据安全
32PHP安全编程:共享主机的源码安全
33PHP安全编程:会话数据注入
34PHP安全编程:主机文件目录浏览
35PHP安全编程:PHP的安全模式
36php安全之直接用$获取值而不$_GET 字符转义
37php防止漏洞策略,创建高性能web
38什么XSS攻击?PHP防止XSS攻击函数
39解析php防止form重复提交的方法
40php安全之狗尾续貂
41PHP防止跨域提交表单
42php防止SQL注入详解及防范
43php防止sql注入代码实例
44php防止sql注入示例分析和几种常见攻击正则表达式
45PHP安全之防止你的源代码或重要配置信息暴露在外
46PHP防止post重复提交数据的简单例子
47php防止伪造的数据从URL提交方法
48PHP防止表单重复提交的几种常用方法汇总
49php防止伪造数据从地址栏URL提交的方法
50php防止站外远程提交表单的方法
51php防止sql注入之过滤分页参数实例
52PHP安全之以Apache模式安装时可能遇到的攻击及解决办法
53PHP安全之文件系统安全及防范措施
54PHP安全之文件系统安全??Null字符问题
55PHP安全之数据库安全??SQL注入及预防措施
56PHP安全之简介和总则
57PHP安全之以CGI 模式安装时可能遇到的攻击及解决办法
58PHP安全之用户提交的数据
59PHP安全之数据库安全??设计、连接和加密
60PHP安全之魔术引号??什么是魔术引号以及如何使用
61PHP安全之隐藏PHP脚本扩展名
62PHP安全之使用 Register Globals
63PHP安全之错误报告
64php防止恶意刷新与刷票的方法
65php防止网站被刷新的方法汇总
66PHP网站常见安全漏洞,及相应防范措施总结

熱AI工具

Undresser.AI Undress
人工智慧驅動的應用程序,用於創建逼真的裸體照片

AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。

Undress AI Tool
免費脫衣圖片

Clothoff.io
AI脫衣器

Video Face Swap
使用我們完全免費的人工智慧換臉工具,輕鬆在任何影片中換臉!

熱門文章

熱工具

記事本++7.3.1
好用且免費的程式碼編輯器

SublimeText3漢化版
中文版,非常好用

禪工作室 13.0.1
強大的PHP整合開發環境

Dreamweaver CS6
視覺化網頁開發工具

SublimeText3 Mac版
神級程式碼編輯軟體(SublimeText3)

在PHP中,應使用password_hash和password_verify函數實現安全的密碼哈希處理,不應使用MD5或SHA1。1)password_hash生成包含鹽值的哈希,增強安全性。 2)password_verify驗證密碼,通過比較哈希值確保安全。 3)MD5和SHA1易受攻擊且缺乏鹽值,不適合現代密碼安全。

PHP和Python各有優勢,選擇依據項目需求。 1.PHP適合web開發,尤其快速開發和維護網站。 2.Python適用於數據科學、機器學習和人工智能,語法簡潔,適合初學者。

PHP在電子商務、內容管理系統和API開發中廣泛應用。 1)電子商務:用於購物車功能和支付處理。 2)內容管理系統:用於動態內容生成和用戶管理。 3)API開發:用於RESTfulAPI開發和API安全性。通過性能優化和最佳實踐,PHP應用的效率和可維護性得以提升。

PHP是一種廣泛應用於服務器端的腳本語言,特別適合web開發。 1.PHP可以嵌入HTML,處理HTTP請求和響應,支持多種數據庫。 2.PHP用於生成動態網頁內容,處理表單數據,訪問數據庫等,具有強大的社區支持和開源資源。 3.PHP是解釋型語言,執行過程包括詞法分析、語法分析、編譯和執行。 4.PHP可以與MySQL結合用於用戶註冊系統等高級應用。 5.調試PHP時,可使用error_reporting()和var_dump()等函數。 6.優化PHP代碼可通過緩存機制、優化數據庫查詢和使用內置函數。 7

PHP仍然具有活力,其在現代編程領域中依然佔據重要地位。 1)PHP的簡單易學和強大社區支持使其在Web開發中廣泛應用;2)其靈活性和穩定性使其在處理Web表單、數據庫操作和文件處理等方面表現出色;3)PHP不斷進化和優化,適用於初學者和經驗豐富的開發者。

PHP類型提示提升代碼質量和可讀性。 1)標量類型提示:自PHP7.0起,允許在函數參數中指定基本數據類型,如int、float等。 2)返回類型提示:確保函數返回值類型的一致性。 3)聯合類型提示:自PHP8.0起,允許在函數參數或返回值中指定多個類型。 4)可空類型提示:允許包含null值,處理可能返回空值的函數。

PHP和Python各有優劣,選擇取決於項目需求和個人偏好。 1.PHP適合快速開發和維護大型Web應用。 2.Python在數據科學和機器學習領域佔據主導地位。

PHP適合web開發,特別是在快速開發和處理動態內容方面表現出色,但不擅長數據科學和企業級應用。與Python相比,PHP在web開發中更具優勢,但在數據科學領域不如Python;與Java相比,PHP在企業級應用中表現較差,但在web開發中更靈活;與JavaScript相比,PHP在後端開發中更簡潔,但在前端開發中不如JavaScript。
