制作安全性高的PHP网站的几个实用要点


Posted in PHP onDecember 30, 2014

大家都知道PHP已经是当前最流行的Web应用编程语言了。但是也与其他脚本语言一样,PHP也有几个很危险的安全漏洞。所以在这篇教学文章中,我们将大致看看几个实用的技巧来让你避免一些常见的PHP安全问题。

技巧1:使用合适的错误报告

一般在开发过程中,很多程序员总是忘了制作程序错误报告,这是极大的错误,因为恰当的错误报告不仅仅是最好的调试工具,也是极佳的安全漏洞检测工具,这能让你把应用真正上线前尽可能找出你将会遇到的问题。
当然也有很多方式去启用错误报告。比如在 php.in 配置文件中你可以设置在运行时启用

启动错误报告
error_reporting(E_ALL);

停用错误报告
error_reporting(0);

技巧2:不使用PHP的Weak属性

有几个PHP的属性是需要被设置为OFF的。一般它们都存在于PHP4里面,而在PHP5中是不推荐使用的。尤其最后在PHP6里面,这些属性都被移除了。

注册全局变量
当 register_globals 被设置为ON时,就相当于设置Environment,GET,POST,COOKIE或者Server变量都定义为全局变量。此时你根本不需要去写 $_POST[‘username']来获取表单变量'username',只需要'$username'就能获取此变量了。
那么你肯定在想既然设置 register_globals 为 ON 有这么方便的好处,那为什么不要使用呢?因为如果你这样做将会带来很多安全性的问题,而且也可能与局部变量名称相冲突。
比如先看看下面的代码:

if( !empty( $_POST[‘username'] ) && $_POST[‘username'] == ‘test123′ && !empty( $_POST[‘password'] ) && $_POST[‘password'] == “pass123″ )

{

$access = true;

}

如果运行期间, register_globals 被设置为ON,那么用户只需要传输 access=1 在一句查询字符串中就能获取到PHP脚本运行的任何东西了。
在.htaccess中停用全局变量

php_flag register_globals 0

在php.ini中停用全局变量

register_globals = Off

停用类似 magic_quotes_gpc, magic_quotes_runtime, magic_quotes_sybase 这些Magic Quotes
在.htaccess文件中设置

php_flag magic_quotes_gpc 0

php_flag magic_quotes_runtime 0

在php.ini中设置

magic_quotes_gpc = Off

magic_quotes_runtime = Off

magic_quotes_sybase = Off

技巧3:验证用户输入

你当然也可以验证用户的输入,首先必须知道你期望用户输入的数据类型。这样就能在浏览器端做好防御用户恶意攻击你的准备。

技巧4:避免用户进行交叉站点脚本攻击

在Web应用中,都是简单地接受用户输入表单然后反馈结果。在接受用户输入时,如果允许HTML格式输入将是非常危险的事情,因为这也就允许了JavaScript以不可预料的方式侵入后直接执行。哪怕只要有一个这样漏洞,cookie数据都可能被盗取进而导致用户的账户被盗取。

技巧5:预防SQL注入攻击

PHP基本没有提供任何工具来保护你的数据库,所以当你连接数据库时,你可以使用下面这个mysqli_real_escape_string 函数。

$username = mysqli_real_escape_string( $GET[‘username'] );

mysql_query( “SELECT * FROM tbl_employee WHERE username = '”.$username.“‘”);

好了,在这篇简短的文章中,我们阐述了几个开发过程中不能忽视的PHP安全性问题。但是最终是否使用,如何使用还是开发人员来决定的。希望这篇文章能帮助到你们。

PHP 相关文章推荐
PHP4(windows版本)中的COM函数
Oct 09 PHP
PHP JSON 数据解析代码
May 26 PHP
ThinkPHP3.1新特性之Action参数绑定
Jun 19 PHP
PHP中的命名空间相关概念浅析
Jan 22 PHP
PHP使用Face++接口开发微信公众平台人脸识别系统的方法
Apr 17 PHP
33道php常见面试题及答案
Jul 06 PHP
php正则表达式学习笔记
Nov 13 PHP
Laravel Memcached缓存驱动的配置与应用方法分析
Oct 08 PHP
php无限级分类实现方法分析
Oct 19 PHP
PHP AjaxForm提交图片上传并显示图片源码
Nov 29 PHP
php版阿里大于(阿里大鱼)短信发送实例详解
Nov 30 PHP
yii2 resetful 授权验证详解
May 18 PHP
php读取mssql的ntext字段返回值为空的解决方法
Dec 30 #PHP
php实现Linux服务器木马排查及加固功能
Dec 29 #PHP
php连接oracle数据库及查询数据的方法
Dec 29 #PHP
php查询mssql出现乱码的解决方法
Dec 29 #PHP
php+mysql大量用户登录解决方案分析
Dec 29 #PHP
php从memcache读取数据再批量写入mysql的方法
Dec 29 #PHP
php操作mongoDB实例分析
Dec 29 #PHP
You might like
让你的PHP同时支持GIF、png、JPEG
2006/10/09 PHP
PHP加Nginx实现动态裁剪图片方案
2014/03/10 PHP
php的SimpleXML方法读写XML接口文件实例解析
2014/06/16 PHP
从零开始学YII2框架(二)通过 Composer 安装扩展插件
2014/08/20 PHP
浅谈PHP拦截器之__set()与__get()的理解与使用方法
2016/10/18 PHP
PHP加MySQL消息队列深入理解
2021/02/27 PHP
CSS JavaScript 实现菜单功能 改进版
2008/12/09 Javascript
javascript中的一些注意事项 更新中
2010/12/06 Javascript
Windows系统下使用Sublime搭建nodejs环境
2015/04/13 NodeJs
javascript事件冒泡实例分析
2015/05/13 Javascript
jquery淡入淡出效果简单实例
2016/01/14 Javascript
node.js 抓取代理ip实例代码
2017/04/30 Javascript
vue 父组件通过v-model接收子组件的值的代码
2019/10/27 Javascript
详解vue中多个有顺序要求的异步操作处理
2019/10/29 Javascript
Vue+Java+Base64实现条码解析的示例
2020/09/23 Javascript
jQuery实现放大镜案例
2020/10/19 jQuery
Vue中inheritAttrs的使用实例详解
2020/12/31 Vue.js
[01:02:06]LGD vs Mineski Supermajor 胜者组 BO3 第二场 6.5
2018/06/06 DOTA
开始着手第一个Django项目
2015/07/15 Python
将Python的Django框架与认证系统整合的方法
2015/07/24 Python
对python中两种列表元素去重函数性能的比较方法
2018/06/29 Python
基于python代码实现简易滤除数字的方法
2018/07/17 Python
Python3内置模块random随机方法小结
2019/07/13 Python
pandas 选取行和列数据的方法详解
2019/08/08 Python
django-crontab 定时执行任务方法的实现
2019/09/06 Python
Django实现网页分页功能
2019/10/31 Python
Pytorch高阶OP操作where,gather原理
2020/04/30 Python
如何在mac版pycharm选择python版本
2020/07/21 Python
HTML5超文本标记语言的实现方法
2020/09/24 HTML / CSS
美国全球旅游运营商:Pacific Holidays
2018/06/18 全球购物
L’urv官网:精品女性运动服品牌
2019/07/07 全球购物
新奥尔良珠宝:Mignon Faget
2020/11/23 全球购物
什么是java序列化,如何实现java序列化
2012/11/14 面试题
社会治安综合治理管理责任书
2014/04/16 职场文书
学校工作推荐信范文
2014/07/11 职场文书
 Python 中 logging 模块使用详情
2022/03/03 Python