PHP安全技术之 实现php基本安全

 更新时间:2010年09月04日 01:18:29   作者:  
php开发过程中,需要注意的一些安全小细节,屏蔽错误提示,多考虑下安全问题。
1.不要依赖注册全局变量功能(register_globals)

注册全局变量的出现曾经让PHP变得非常易用,但也降低了安全性(方便之处经常会破坏安全性)。建议在编程时把register_globals指令关闭,在PHP6中这个功能也会被取消。

2.在使用变量之前对其进行初始化。

如果register_globals功能是启动的,即使程序员不使用它,恶意用户也可能利用为初始化变量的漏洞来侵入我们的系统。比如:

if(conditon){

$auth=TRUE;

}

如果变量$auth没有在这段之前被初始化为FALSE,那么用户就可以向脚本传递$_GET[‘auth']、$_POST[‘auth']或$_COOKIE[‘auth']轻易的实现验证。

3.检验和净化全部输入数据。

4.在利用变量引用包含文件时要小心。

如果脚本中有这样的代码:

require($page);

那么就应该确保$page不会来自外部资源(比如$_GET),或者,如果它的确来自于外部资源,那么就要确保它包含适当的值。

5.在使用任何服务器上执行命令的函数都要多加小心。

这些函数包括eval()、exec()、system()、passthru()、popen()和反撇号(``)。这些函数都能够在服务器上执行命令,永远都不要随意使用。如果在命令里不得不包含便来那个,就应该对这个变量进行彻底的安全检查。还应该使用escapeshellarg() escapeshellcom()进行额外的预处理。

6.更改默认的会话目录,或者使用数据库保存会话数据。

7.不要使用浏览器提供的文件名在服务器上保存上传的文件。

8.如果被提交的数据需要在web页面中重新显示,一定要注意其中的HTML,更重要的是JAVASCRIPT

可以利用函数

string htmlspecialchars ( string string [, int quote_style [, string charset]])

对提交的数据进行处理

9。不要在站点上暴露你的PHP错误信息

PHP错误信息能够在你开发的过程中把错误信息输出方便你的检查,但是如果暴露在Web上面,很可以成为攻击者的入口。

10.防止SQL注入攻击。

应该使用特定语言的数据库转义函数,比如mysqli_real_escape_data(),确保提交的内容不会破坏查询操作。

11.永远不要在服务器上保存phpinfo()脚本。

相关文章

  • php下通过IP获取地理位置的代码(小偷程序)

    php下通过IP获取地理位置的代码(小偷程序)

    php下通过远程获取qq的ip解析,实现获取地理位置的代码,需要的朋友可以参考下。
    2011-06-06
  • PHP设计模式之装饰者模式

    PHP设计模式之装饰者模式

    装饰者模式动态地将责任附加到对象上。若要扩展功能,装饰者提供了比继承更有弹性的替代方案
    2012-02-02
  • PHPUnit 单元测试安装与使用入门教程

    PHPUnit 单元测试安装与使用入门教程

    这篇文章主要介绍了PHPUnit 单元测试安装与使用,结合实例形式分析了PHPunit单元测试的下载、安装、测试运行相关操作技巧与使用注意事项,需要的朋友可以参考下
    2020-04-04
  • 一个完整的PHP类包含的七种语法说明

    一个完整的PHP类包含的七种语法说明

    这篇文章主要介绍了一个完整的PHP类包含的七种语法说明,这些语法包括属性、静态属性、方法、静态方法、类常量、构造函数、析构函数,本文一一给代码示例和详细注解让你快速了解类的写法,需要的朋友可以参考下
    2015-06-06
  • PHP 字符串分割和比较

    PHP 字符串分割和比较

    比较两个字符串是否相等,最常见的方法就是使用“===”来判断,至于它和“==”的区别,简单来说就是前者强调“Identical”类型也要求一样;后者要求“Equal”,值相同就可以了。
    2009-10-10
  • windows下PHP_intl.dll正确配置方法(apache2.2+php5.3.5)

    windows下PHP_intl.dll正确配置方法(apache2.2+php5.3.5)

    配置php_intl模块总是加载失败,在这找到了解决方法
    2014-01-01
  • PHP类和对象相关系统函数与运算符小结

    PHP类和对象相关系统函数与运算符小结

    这篇文章主要介绍了PHP类和对象相关系统函数与运算符,结合实例形式总结分析了php类与对象操作过程中常用的系统函数与运算符,需要的朋友可以参考下
    2016-09-09
  • PHP session垃圾回收机制实例分析

    PHP session垃圾回收机制实例分析

    这篇文章主要介绍了PHP session垃圾回收机制,简单分析了session垃圾回收机制的原理、配置及相关使用技巧,需要的朋友可以参考下
    2019-06-06
  • php实现的mysqldb读写分离操作类示例

    php实现的mysqldb读写分离操作类示例

    这篇文章主要介绍了php实现的mysqldb读写分离操作类,结合实例形式分析了php针对数据库的读写分离操作实现技巧,并给出了该封装类的具体使用方法,需要的朋友可以参考下
    2017-02-02
  • PHP小程序支付功能完整版【基于thinkPHP】

    PHP小程序支付功能完整版【基于thinkPHP】

    这篇文章主要介绍了PHP小程序支付功能,结合实例形式分析了基于thinkPHP框架实现微信支付功能的原理、操作步骤及注意事项,需要的朋友可以参考下
    2019-03-03

最新评论