制作安全性高的PHP网站的几个实用要点


Posted in PHP onDecember 30, 2014

大家都知道PHP已经是当前最流行的Web应用编程语言了。但是也与其他脚本语言一样,PHP也有几个很危险的安全漏洞。所以在这篇教学文章中,我们将大致看看几个实用的技巧来让你避免一些常见的PHP安全问题。

技巧1:使用合适的错误报告

一般在开发过程中,很多程序员总是忘了制作程序错误报告,这是极大的错误,因为恰当的错误报告不仅仅是最好的调试工具,也是极佳的安全漏洞检测工具,这能让你把应用真正上线前尽可能找出你将会遇到的问题。
当然也有很多方式去启用错误报告。比如在 php.in 配置文件中你可以设置在运行时启用

启动错误报告
error_reporting(E_ALL);

停用错误报告
error_reporting(0);

技巧2:不使用PHP的Weak属性

有几个PHP的属性是需要被设置为OFF的。一般它们都存在于PHP4里面,而在PHP5中是不推荐使用的。尤其最后在PHP6里面,这些属性都被移除了。

注册全局变量
当 register_globals 被设置为ON时,就相当于设置Environment,GET,POST,COOKIE或者Server变量都定义为全局变量。此时你根本不需要去写 $_POST[‘username']来获取表单变量'username',只需要'$username'就能获取此变量了。
那么你肯定在想既然设置 register_globals 为 ON 有这么方便的好处,那为什么不要使用呢?因为如果你这样做将会带来很多安全性的问题,而且也可能与局部变量名称相冲突。
比如先看看下面的代码:

if( !empty( $_POST[‘username'] ) && $_POST[‘username'] == ‘test123′ && !empty( $_POST[‘password'] ) && $_POST[‘password'] == “pass123″ )

{

$access = true;

}

如果运行期间, register_globals 被设置为ON,那么用户只需要传输 access=1 在一句查询字符串中就能获取到PHP脚本运行的任何东西了。
在.htaccess中停用全局变量

php_flag register_globals 0

在php.ini中停用全局变量

register_globals = Off

停用类似 magic_quotes_gpc, magic_quotes_runtime, magic_quotes_sybase 这些Magic Quotes
在.htaccess文件中设置

php_flag magic_quotes_gpc 0

php_flag magic_quotes_runtime 0

在php.ini中设置

magic_quotes_gpc = Off

magic_quotes_runtime = Off

magic_quotes_sybase = Off

技巧3:验证用户输入

你当然也可以验证用户的输入,首先必须知道你期望用户输入的数据类型。这样就能在浏览器端做好防御用户恶意攻击你的准备。

技巧4:避免用户进行交叉站点脚本攻击

在Web应用中,都是简单地接受用户输入表单然后反馈结果。在接受用户输入时,如果允许HTML格式输入将是非常危险的事情,因为这也就允许了JavaScript以不可预料的方式侵入后直接执行。哪怕只要有一个这样漏洞,cookie数据都可能被盗取进而导致用户的账户被盗取。

技巧5:预防SQL注入攻击

PHP基本没有提供任何工具来保护你的数据库,所以当你连接数据库时,你可以使用下面这个mysqli_real_escape_string 函数。

$username = mysqli_real_escape_string( $GET[‘username'] );

mysql_query( “SELECT * FROM tbl_employee WHERE username = '”.$username.“‘”);

好了,在这篇简短的文章中,我们阐述了几个开发过程中不能忽视的PHP安全性问题。但是最终是否使用,如何使用还是开发人员来决定的。希望这篇文章能帮助到你们。

PHP 相关文章推荐
php 8小时时间差的解决方法小结
Dec 22 PHP
php设计模式之观察者模式的应用详解
May 21 PHP
php变量作用域的深入解析
Jun 03 PHP
php中current、next与reset函数用法实例
Nov 17 PHP
一个比较不错的PHP日历类分享
Nov 18 PHP
简单说说PHP优化那些事(经验分享)
Nov 27 PHP
php计算两个文件相对路径的方法
Mar 14 PHP
thinkPHP实现MemCache分布式缓存功能
Mar 23 PHP
Thinkphp连表查询及数据导出方法示例
Oct 15 PHP
Phpstorm+Xdebug断点调试PHP的方法
May 14 PHP
PHP htmlspecialchars_decode()函数用法讲解
Mar 01 PHP
浅谈PHP之ThinkPHP框架使用详解
Jul 21 PHP
php读取mssql的ntext字段返回值为空的解决方法
Dec 30 #PHP
php实现Linux服务器木马排查及加固功能
Dec 29 #PHP
php连接oracle数据库及查询数据的方法
Dec 29 #PHP
php查询mssql出现乱码的解决方法
Dec 29 #PHP
php+mysql大量用户登录解决方案分析
Dec 29 #PHP
php从memcache读取数据再批量写入mysql的方法
Dec 29 #PHP
php操作mongoDB实例分析
Dec 29 #PHP
You might like
frename PHP 灵活文件命名函数 frename
2009/09/09 PHP
php 应用程序安全防范技术研究
2009/09/25 PHP
php模拟js函数unescape的函数代码
2012/10/20 PHP
php读取mssql的ntext字段返回值为空的解决方法
2014/12/30 PHP
php实现将数据做成json的格式给前端使用
2018/08/21 PHP
php使用fullcalendar日历插件详解
2019/03/06 PHP
23个超流行的jQuery相册插件整理分享
2011/04/25 Javascript
jquery zTree异步加载简单实例分享
2013/02/05 Javascript
jQuery对象和Javascript对象之间转换的实例代码
2013/03/20 Javascript
JavaScript cookie的设置获取删除详解
2014/02/11 Javascript
JS获取地址栏参数的几种方法小结
2014/02/28 Javascript
jQuery老黄历完整实现方法
2015/01/16 Javascript
基于JavaScript代码实现自动生成表格
2016/06/15 Javascript
vue.extend实现alert模态框弹窗组件
2018/04/28 Javascript
JavaScript反射与依赖注入实例详解
2018/05/29 Javascript
详解如何用typescript开发koa2的二三事
2018/11/13 Javascript
Emberjs 通过 axios 下载文件的方法
2019/09/03 Javascript
node 标准输入流和输出流代码实例
2019/09/19 Javascript
JavaScript对象字面量和构造函数原理与用法详解
2020/04/18 Javascript
实例讲解python中的序列化知识点
2018/10/08 Python
使用Python为中秋节绘制一块美味的月饼
2019/09/11 Python
Python实现查找数据库最接近的数据
2020/06/08 Python
在django中实现choices字段获取对应字段值
2020/07/12 Python
python将数据插入数据库的代码分享
2020/08/16 Python
Python偏函数实现原理及应用
2020/11/20 Python
使用简单的CSS3属性实现炫酷读者墙效果
2014/01/08 HTML / CSS
Bench加拿大官方网站:英国城市服装品牌
2017/11/03 全球购物
好的自荐信的要求
2013/10/30 职场文书
小学毕业家长寄语
2014/01/19 职场文书
学术会议邀请函范文
2014/01/22 职场文书
九年级体育教学反思
2014/01/23 职场文书
中华魂演讲稿
2014/05/13 职场文书
农民工预备党员思想汇报
2014/09/14 职场文书
2019求职信大礼包
2019/05/15 职场文书
Pytest中skip和skipif的具体使用方法
2021/06/30 Python
如何解决flex文本溢出问题小结
2022/07/15 HTML / CSS