#
參考：「PHP視訊教學》
，PHP 開發者。在這篇文章中，我將嘗試為你提供一些可以提高 PHP 應用程式安全性的具體步驟。我關注的是 PHP 配置本身，所以我們不會討論 SQL 注入、HTTPS 或其他與 PHP 無關的問題。
我將使用我的docker-entrypoint.sh腳本中的 bash 行來說明範例，但當然你可以將其應用於非 docker 環境。
Sessions
使用較長的Session ID 長度
增加會話id 長度會使攻擊者更難猜到（透過暴力或更有可能的側通道攻擊）。長度可以介於22 到 256 個字元之間。預設值為 32。
sed -i -e "s/session.sid_length = 26/session.sid_length = 42/" /etc/php7/php.ini
登入後複製
(別問我為什麼在 Alpine Linux 上是26…)
#你可能還想查看 session.sid_bits_per_character。
使用具有限制權限的自訂會話保存路徑
只有nginx/php 需要存取會話，所以讓我們將它們放在一個具有受限權限的特殊資料夾中。
sed -i -e "s:;session.save_path = \"/tmp\":session.save_path = \"/sessions\":" /etc/php7/php.ini
mkdir -p /sessions
chown nginx:nginx /sessions
chmod 700 /sessions
登入後複製
當然，如果你使用Redis 處理會話，你並不需要關心這部分；)
安全會話Cookie
##session .cookie_httponly來阻止javascript 存取它們。 更多資訊。
sed -i -e "s/session.cookie_httponly.*/session.cookie_httponly = true/" /etc/php7/php.ini
sed -i -e "s/;session.cookie_secure.*/session.cookie_secure = true/" /etc/php7/php.ini
登入後複製
session.cookie_secure 防止你的 cookie 在明文 HTTP 上傳輸。
session.cookie_samesite 以防止跨網站攻擊。僅適用於最新的 PHP/瀏覽器。
使用嚴格模式
由於 Cookie 規範，攻擊者能夠透過本機設定 Cookie 資料庫或 JavaScript 注入來放置不可移除的會話 ID Cookie。
session.use_strict_mode 可以防止使用攻擊者初始化的會話 ID。
限制生存期
會話應與瀏覽器一起關閉。因此設定
session.cookie_lifetime 為0。
Open_basedir
open_basedir 是一個php.ini設定選項，讓你限制PHP 可以存取的檔案/目錄。
sed -i -e "s#;open_basedir =#open_basedir = /elabftw/:/tmp/:/usr/bin/unzip#" /etc/php7/php.ini
登入後複製
這裡我加入了 unzip，因為它是由 Composer 使用的。
/elabftw是所有來源 php 檔案所在的位置。我不記得為什麼/tmp會在這裡，但肯定有原因。
停用功能
這一點要小心，因為你很容易搞砸一個應用程式。但這絕對值得調查。假設攻擊者以某種方式上傳了一個 webshell，如果正確禁用了，webshell 將不會真正工作，因為
shell_exec將被禁用，同類也將被禁用。我提供了一個適用於elabftw 的列表，但並不是百分之百完成。
sed -i -e "s/disable_functions =/disable_functions = php_uname, getmyuid, getmypid, passthru, leak, listen, diskfreespace, tmpfile, link, ignore_user_abort, shell_exec, dl, system, highlight_file, source, show_source, fpaththru, virtual, posix_ctermid, posix_getcwd, posix_getegid, posix_geteuid, posix_getgid, posix_getgrgid, posix_getgrnam, posix_getgroups, posix_getlogin, posix_getpgid, posix_getpgrp, posix_getpid, posix_getppid, posix_getpwnam, posix_getpwuid, posix_getrlimit, posix_getsid, posix_getuid, posix_isatty, posix_kill, posix_mkfifo, posix_setegid, posix_seteuid, posix_setgid, posix_setpgid, posix_setsid, posix_setuid, posix_times, posix_ttyname, posix_uname, phpinfo/" /etc/php7/php.ini
登入後複製
停用 url_fopen
allow_url_fopen 這個選項很危險的。禁用它。更多資訊在此。
sed -i -e "s/allow_url_fopen = On/allow_url_fopen = Off/" /etc/php7/php.ini
登入後複製
停用 cgi.fix_pathinfo
你不想讓非 PHP 檔案作為 PHP 檔案執行，對嗎？那就禁用此功能。
更多資訊。
sed -i -e "s/;cgi.fix_pathinfo=1/cgi.fix_pathinfo=0/g" /etc/php7/php.ini
登入後複製
隱藏 PHP 版本
最後，不假思索地說：
sed -i -e "s/expose_php = On/expose_php = Off/g" /etc/php7/php.ini
登入後複製
現在就這樣。我希望你會發現這篇文章很有用，並改進你的配置；)
如果我錯過了什麼重要的東西，請在評論中告訴我！
原文網址：https://dev.to/elabftw/10-steps-for-securing-a-php-app-5fnp
翻譯網址：https://learnku.com /php/t/50851
#
以上是分享十個PHP安全的必備技巧的詳細內容。更多資訊請關注PHP中文網其他相關文章！
