程序師世界是廣大編程愛好者互助、分享、學習的平台,程序師世界有你更精彩!
首頁
編程語言
C語言|JAVA編程
Python編程
網頁編程
ASP編程|PHP編程
JSP編程
數據庫知識
MYSQL數據庫|SqlServer數據庫
Oracle數據庫|DB2數據庫
 程式師世界 >> 編程語言 >> 網頁編程 >> PHP編程 >> PHP綜合 >> PHP編程安全性小結

PHP編程安全性小結

編輯:PHP綜合
規則 1:絕不要信任外部數據或輸入

  關於 Web 應用程序安全性,必須認識到的第一件事是不應該信任外部數據。外部數據(outside data) 包括不是由程序員在 PHP 代碼中直接輸入的任何數據。在采取措施確保安全之前,來自任何其他來源(比如 GET 變量、表單 POST、數據庫、配置文件、會話變量或 cookIE)的任何數據都是不可信任的。

  對用戶輸入進行清理的一個簡單方法是,使用正則表達式來處理它。

  規則 2:禁用那些使安全性難以實施的 PHP 設置

  已經知道了不能信任用戶輸入,還應該知道不應該信任機器上配置 PHP 的方式。例如,要確保禁用 register_globals。如果啟用了 register_globals,就可能做一些粗心的事情,比如使用 $variable 替換同名的 GET 或 POST 字符串。通過禁用這個設置,PHP 強迫您在正確的名稱空間中引用正確的變量。要使用來自表單 POST 的變量,應該引用 $_POST['variable']。這樣就不會將這個特定變量誤會成 cookIE、會話或 GET 變量。

  要 檢查的第二個設置是錯誤報告級別。在開發期間,希望獲得盡可能多的錯誤報告,但是在交付項目時,希望將錯誤記錄到日志文件中,而不是顯示在屏幕上。為什麼 呢?因為惡意的黑客會使用錯誤報告信息(比如 SQL 錯誤)來猜測應用程序正在做什麼。這種偵察可以幫助黑客突破應用程序。為了堵住這個漏洞,需要編輯 PHP.ini 文件,為 error_log 條目提供合適的目的地,並將 display_errors 設置為 Off。

  規則 3:如果不能理解它,就不能保護它

  一些開發人員使用奇怪的語法,或者將語句組織得很緊湊,形成簡短但是含義模糊的代碼。這種方式可能效率高,但是如果您不理解代碼正在做什麼,那麼就無法決定如何保護它。

  規則 4:“縱深防御” 是新的法寶

  即使使用 PHP regex 來確保 GET 變量完全是數字的,仍然可以采取措施確保 SQL 查詢使用轉義的用戶輸入。

  縱深防御不只是一種好思想,它可以確保您不會陷入嚴重的麻煩。

  1. 上一頁:
  2. 下一頁:
Copyright © 程式師世界 All Rights Reserved