- 相關(guān)推薦
PHP開發(fā)安全保護(hù)的要點(diǎn)
當(dāng)開發(fā)一個(gè)互聯(lián)網(wǎng)服務(wù)的時(shí)候，必須時(shí)刻牢記安全觀念，并在開發(fā)的代碼中體現(xiàn)。下面整理了一些PHP開發(fā)安全保護(hù)的要點(diǎn)，希望對(duì)大家有所幫助!
不相信表單
對(duì)于一般的Javascript前臺(tái)驗(yàn)證，由于無法得知用戶的行為，例如關(guān)閉了瀏覽器的javascript引擎，這樣通過POST惡意數(shù)據(jù)到服務(wù)器。需要在服務(wù)器端進(jìn)行驗(yàn)證，對(duì)每個(gè)php腳本驗(yàn)證傳遞到的數(shù)據(jù)，防止XSS攻擊和SQL注入
不相信用戶
要假設(shè)你的網(wǎng)站接收的每一條數(shù)據(jù)都是存在惡意代碼的，存在隱藏的威脅，要對(duì)每一條數(shù)據(jù)都進(jìn)行清理
關(guān)閉全局變量
在php.ini文件中進(jìn)行以下配置：
register_globals = Off
如果這個(gè)配置選項(xiàng)打開之后，會(huì)出現(xiàn)很大的安全隱患。例如有一個(gè)process.php的腳本文件，會(huì)將接收到的數(shù)據(jù)插入到數(shù)據(jù)庫，接收用戶輸入數(shù)據(jù)的表單可能如下：
這樣，當(dāng)提交數(shù)據(jù)到process.php之后，php會(huì)注冊(cè)一個(gè)$username變量，將這個(gè)變量數(shù)據(jù)提交到process.php，同時(shí)對(duì)于任何POST或GET請(qǐng)求參數(shù)，都會(huì)設(shè)置這樣的變量。如果不是顯示進(jìn)行初始化那么就會(huì)出現(xiàn)下面的問題：
此處，假設(shè)authenticated_user函數(shù)就是判斷$authorized變量的值，如果開啟了register_globals配置，那么任何用戶都可以發(fā)送一個(gè)請(qǐng)求，來設(shè)置$authorized變量的值為任意值從而就能繞過這個(gè)驗(yàn)證。
所有的這些提交數(shù)據(jù)都應(yīng)該通過PHP預(yù)定義內(nèi)置的全局?jǐn)?shù)組來獲取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一個(gè)$_GET/$_POST/$_COOKIE三個(gè)數(shù)組的聯(lián)合變量，默認(rèn)的順序是$_COOKIE、$_POST、$_GET。
推薦的安全配置選項(xiàng)
error_reporting設(shè)置為Off：不要暴露錯(cuò)誤信息給用戶，開發(fā)的時(shí)候可以設(shè)置為ON
safe_mode設(shè)置為Off
register_globals設(shè)置為Off
將以下函數(shù)禁用：system、exec、passthru、shell_exec、proc_open、popen
open_basedir設(shè)置為 /tmp ，這樣可以讓session信息有存儲(chǔ)權(quán)限，同時(shí)設(shè)置單獨(dú)的網(wǎng)站根目錄
expose_php設(shè)置為Off
allow_url_fopen設(shè)置為Off
allow_url_include設(shè)置為Off
SQL注入攻擊
對(duì)于操作數(shù)據(jù)庫的SQL語句，需要特別注意安全性，因?yàn)橛脩艨赡茌斎胩囟ㄕZ句使得原有的SQL語句改變了功能。類似下面的例子：
$sql = "select * from pinfo where product = '$product'";
此時(shí)如果用戶輸入的$product參數(shù)為：
39'; DROP pinfo; SELECT 'FOO
那么最終SQL語句就變成了如下的樣子：
select product from pinfo where product = '39'; DROP pinfo; SELECT 'FOO'
這樣就會(huì)變成三條SQL語句，會(huì)造成pinfo表被刪除，這樣會(huì)造成嚴(yán)重的后果。
這個(gè)問題可以簡(jiǎn)單的使用PHP的內(nèi)置函數(shù)解決：
$sql = 'Select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';
防止SQL注入攻擊需要做好兩件事：
對(duì)輸入的參數(shù)總是進(jìn)行類型驗(yàn)證
對(duì)單引號(hào)、雙引號(hào)、反引號(hào)等特殊字符總是使用mysql_real_escape_string函數(shù)進(jìn)行轉(zhuǎn)義
但是，這里根據(jù)開發(fā)經(jīng)驗(yàn)，不要開啟php的 Magic Quotes，這個(gè)特性在php6中已經(jīng)廢除，總是自己在需要的時(shí)候進(jìn)行轉(zhuǎn)義。
防止基本的XSS攻擊
XSS攻擊不像其他攻擊，這種攻擊在客戶端進(jìn)行，最基本的XSS工具就是防止一段javascript腳本在用戶待提交的表單頁面，將用戶提交的數(shù)據(jù)和cookie偷取過來。
XSS工具比SQL注入更加難以防護(hù)，各大公司網(wǎng)站都被XSS攻擊過，雖然這種攻擊與php語言無關(guān)，但可以使用php來篩選用戶數(shù)據(jù)達(dá)到保護(hù)用戶數(shù)據(jù)的目的，這里主要使用的是對(duì)用戶的數(shù)據(jù)進(jìn)行過濾，一般過濾掉HTML標(biāo)簽，特別是a標(biāo)簽。下面是一個(gè)普通的過濾方法：
function transform_HTML($string, $length = null) {// Helps prevent XSS attacks // Remove dead space. $string = trim($string); // Prevent potential Unicode codec problems. $string = utf8_decode($string); // HTMLize HTML-specific characters. $string = htmlentities($string, ENT_NOQUOTES); $string = str_replace("#", "#", $string); $string = str_replace("%", "%", $string); $length = intval($length); if ($length > 0) { $string = substr($string, 0, $length); } return $string;}
這個(gè)函數(shù)將HTML的特殊字符轉(zhuǎn)換為了HTML實(shí)體，瀏覽器在渲染這段文本的時(shí)候以純文本形式顯示。如bold會(huì)被顯示為：
BoldText
上述函數(shù)的核心就是htmlentities函數(shù)，這個(gè)函數(shù)將html特殊標(biāo)簽轉(zhuǎn)換為html實(shí)體字符，這樣可以過濾大部分的XSS攻擊。
【PHP開發(fā)安全保護(hù)的要點(diǎn)】相關(guān)文章：
PHP前端開發(fā)中的性能05-25
PHP開發(fā)中注意的事08-17
php開發(fā)工具排行10-15
PHP開發(fā)CS結(jié)構(gòu)的技巧08-27
PHP編程開發(fā)的10條原則09-23
最熱門的PHP開發(fā)工具07-03