YII Framework框架教程之安全方案详解


Posted in PHP onMarch 14, 2016

本文讲述了YII Framework框架的安全方案。分享给大家供大家参考,具体如下:

web应用的安全问题是很重要的,在“黑客”盛行的年代,你的网站可能明天都遭受着攻击,为了从某种程度上防止被攻击,YII提供了防止攻击的几种解决方案。当然这里讲的安全是片面的,但是值得一看。

官方提供的解决方案有:如下

1. 跨站脚本攻击的防范

跨站脚本攻击(简称 XSS),即web应用从用户收集用户数据。 攻击者常常向易受攻击的web应用注入JavaScript,VBScript,ActiveX,HTML或 Flash来迷惑访问者以收集访问者的信息。 举个例子,一个未经良好设计的论坛系统可能不经检查就显示用户所输入的内容。 攻击者可以在帖子内容中注入一段恶意的JavaScript代码。 这样,当其他访客在阅读这个帖子的时候,这些JavaScript代码就可以在访客的电脑上运行了。

一个防范XSS攻击的最重要的措施之一就是:在显示用户输入的内容之前进行内容检查。 比如,你可以对内容中的HTML进行转义处理。但是在某些情况下这种方法就不可取了,因为这种方法禁用了所有的HTML标签。

Yii集成了HTMLPurifier并且为开发者提供了一个很有用的组件CHtmlPurifier, 这个组件封装了HTMLPurifier类。它可以将通过有效的审查、安全和白名单功能来把所审核的内容中的所有的恶意代码清除掉,并且确保过滤之后的内容过滤符合标准。

CHtmlPurifier组件可以作为一个widget或者filter来使用。 当作为一个widget来使用的时候,CHtmlPurifier可以对在视图中显示的内容进行安全过滤。 以下是代码示例:

<?php $this->beginWidget('CHtmlPurifier'); ?>
//...这里显示用户输入的内容...
<?php $this->endWidget(); ?>

2. 跨站请求伪造攻击的防范

跨站请求伪造(简称CSRF)攻击,即攻击者在用户浏览器在访问恶意网站的时候,让用户的浏览器向一个受信任的网站发起攻击者指定的请求。 举个例子,一个恶意网站有一个图片,这个图片的src地址指向一个银行网站:http://bank.example/withdraw?transfer=10000&to=someone。 如果用户在登陆银行的网站之后访问了这个恶意网页,那么用户的浏览器会向银行网站发送一个指令,这个指令的内容可能是“向攻击者的帐号转账10000元”。 跨站攻击方式利用用户信任的某个特定网站,而CSRF攻击正相反,它利用用户在某个网站中的特定用户身份。

要防范CSRF攻击,必须谨记一条:GET请求只允许检索数据而不能修改服务器上的任何数据。 而POST请求应当含有一些可以被服务器识别的随机数值,用来保证表单数据的来源和运行结果发送的去向是相同的。

Yii实现了一个CSRF防范机制,用来帮助防范基于POST的攻击。 这个机制的核心就是在cookie中设定一个随机数据,然后把它同表单提交的POST数据中的相应值进行比较。

默认情况下,CSRF防范是禁用的。如果你要启用它,可以编辑应用配置 中的组件中的CHttpRequest部分。

代码示例:

return array(
  'components'=>array(
    'request'=>array(
      'enableCsrfValidation'=>true,
    ),
  ),
);

要显示一个表单,请使用CHtml::form而不要自己写HTML代码。因为CHtml::form可以自动地在表单中嵌入一个隐藏项,这个隐藏项储存着验证所需的随机数据,这些数据可在表单提交的时候发送到服务器进行验证。

3. Cookie攻击的防范

保护cookie免受攻击是非常重要的。因为session ID通常存储在Cookie中。 如果攻击者窃取到了一个有效的session ID,他就可以使用这个session ID对应的session信息。

这里有几条防范对策:

您可以使用SSL来产生一个安全通道,并且只通过HTTPS连接来传送验证cookie。这样攻击者是无法解密所传送的cookie的。

设置cookie的过期时间,对所有的cookie和seesion令牌也这样做。这样可以减少被攻击的机会。

防范跨站代码攻击,因为它可以在用户的浏览器触发任意代码,这些代码可能会泄露用户的cookie。

在cookie有变动的时候验证cookie的内容。

Yii实现了一个cookie验证机制,可以防止cookie被修改。启用之后可以对cookie的值进行HMAC检查。

Cookie验证在默认情况下是禁用的。如果你要启用它,可以编辑应用配置 中的组件中的CHttpRequest部分。

代码示例:

return array(
  'components'=>array(
    'request'=>array(
      'enableCookieValidation'=>true,
    ),
  ),
);

一定要使用经过Yii验证过的cookie数据。使用Yii内置的cookies组件来进行cookie操作,不要使用$_COOKIES。

// 检索一个名为$name的cookie值
$cookie=Yii::app()->request->cookies[$name];
$value=$cookie->value;
......
// 设置一个cookie
$cookie=new CHttpCookie($name,$value);
Yii::app()->request->cookies[$name]=$cookie;

希望本文所述对大家基于Yii框架的PHP程序设计有所帮助。

PHP 相关文章推荐
php 修改zen-cart下单和付款流程以防止漏单
Mar 08 PHP
PHP JSON 数据解析代码
May 26 PHP
PHP下对数组进行排序的函数
Aug 08 PHP
PHP导入Excel到MySQL的方法
Apr 23 PHP
解析PHP跨站刷票的实现代码
Jun 18 PHP
解析thinkphp import 文件内容变量失效的问题
Jun 20 PHP
php检测文件编码的方法示例
Apr 25 PHP
php+Mysqli利用事务处理转账问题实例
Feb 11 PHP
Linux安装配置php环境的方法
Jan 14 PHP
PHP编程之设置apache虚拟目录
Jul 08 PHP
Zend Framework数据库操作技巧总结
Feb 18 PHP
PHP5.0~5.6 各版本兼容性cURL文件上传功能实例分析
May 11 PHP
YII Framework框架教程之日志用法详解
Mar 14 #PHP
YII Framework教程之异常处理详解
Mar 14 #PHP
Zend Framework教程之Application用法实例详解
Mar 14 #PHP
Zend Framework自定义Helper类相关注意事项总结
Mar 14 #PHP
Zend Framework教程之Bootstrap类用法概述
Mar 14 #PHP
如何解决PHP使用mysql_query查询超大结果集超内存问题
Mar 14 #PHP
Zend Framework教程之资源(Resources)用法实例详解
Mar 14 #PHP
You might like
PHP 加密/解密函数 dencrypt(动态密文,带压缩功能,支持中文)
2009/01/30 PHP
php中使用Imagick实现图像直方图的实现代码
2011/08/30 PHP
PHP实现简单注册登录系统
2020/12/28 PHP
JQuery 获得绝对,相对位置的坐标方法
2010/02/09 Javascript
return false;和e.preventDefault();的区别
2010/07/11 Javascript
20款超赞的jQuery插件 Web开发人员必备
2011/02/26 Javascript
select标记美化--JS式插件、后期加载
2013/04/01 Javascript
JavaScript验证电子邮箱的函数
2014/08/22 Javascript
jQuery固定浮动侧边栏实现思路及代码
2014/09/28 Javascript
基于js与flash实现的网站flv视频播放插件代码
2014/10/14 Javascript
jquery实现鼠标滑过小图时显示大图的方法
2015/01/14 Javascript
实例剖析AngularJS框架中数据的双向绑定运用
2016/03/04 Javascript
Angular中$cacheFactory的作用和用法实例详解
2016/08/19 Javascript
浅谈jquery拼接字符串效率比较高的方法
2017/02/22 Javascript
vue jsx 使用指南及vue.js 使用jsx语法的方法
2017/11/11 Javascript
Vue 中对图片地址进行拼接的方法
2018/09/03 Javascript
使用Vue中 v-for循环列表控制按钮隐藏显示功能
2019/04/23 Javascript
Vue CLI2升级至Vue CLI3的方法步骤
2019/05/20 Javascript
实例详解带参数的 npm script
2019/05/28 Javascript
react基本安装与测试示例
2020/04/27 Javascript
Postman无法正常返回结果问题解决
2020/08/28 Javascript
python多线程socket编程之多客户端接入
2017/09/12 Python
Python编程中NotImplementedError的使用方法
2018/04/21 Python
python遍历文件夹找出文件夹后缀为py的文件方法
2018/10/21 Python
Python socket非阻塞模块应用示例
2019/09/12 Python
解决python 找不到module的问题
2020/02/12 Python
pycharm 更改创建文件默认路径的操作
2020/02/15 Python
python os模块常用的29种方法使用详解
2020/06/02 Python
Python 如何查找特定类型文件
2020/08/17 Python
python脚本定时发送邮件
2020/12/22 Python
PUMA澳大利亚官方网站:德国运动品牌
2018/10/19 全球购物
企业治理工作自我评价
2013/09/26 职场文书
英文求职信写作小建议
2014/02/16 职场文书
小学班主任事迹材料
2014/12/17 职场文书
详解Javascript实践中的命令模式
2021/05/05 Javascript
MySQL索引 高效获取数据的数据结构
2022/05/02 MySQL