Yii框架防止sql注入,xss攻击与csrf攻击的方法

 更新时间:2016年10月18日 10:52:29   作者:Love满天星   我要评论
这篇文章主要介绍了Yii框架防止sql注入,xss攻击与csrf攻击的方法,结合实例形式分析了Yii框架针对sql注入,xss攻击与csrf攻击的防范方法与相关函数调用注意事项,需要的朋友可以参考下

本文实例讲述了Yii框架防止sql注入,xss攻击与csrf攻击的方法。分享给大家供大家参考,具体如下:

PHP中常用到的方法有:

/* 防sql注入,xss攻击 (1)*/
function actionClean($str)
{
    $str=trim($str);
    $str=strip_tags($str);
    $str=stripslashes($str);
    $str=addslashes($str);
    $str=rawurldecode($str);
    $str=quotemeta($str);
    $str=htmlspecialchars($str);
    //去除特殊字符
    $str=preg_replace("/\/|\~|\!|\@|\#|\\$|\%|\^|\&|\*|\(|\)|\_|\+|\{|\}|\:|\<|\>|\?|\[|\]|\,|\.|\/|\;|\'|\`|\-|\=|\\\|\|/", "" , $str);
    $str=preg_replace("/\s/", "", $str);//去除空格、换行符、制表符
    return $str;
}
//防止sql注入。xss攻击(1)
public function actionFilterArr($arr)
{
    if(is_array($arr)){
      foreach($arr as $k => $v){
        $arr[$k] = $this->actionFilterWords($v);
      }
    }else{
      $arr = $this->actionFilterWords($arr);
    }
    return $arr;
}
//防止xss攻击
public function actionFilterWords($str)
{
    $farr = array(
      "/<(\\/?)(script|i?frame|style|html|body|title|link|meta|object|\\?|\\%)([^>]*?)>/isU",
      "/(<[^>]*)on[a-zA-Z]+\s*=([^>]*>)/isU",
      "/select|insert|update|delete|drop|\'|\/\*|\*|\+|\-|\"|\.\.\/|\.\/|union|into|load_file|outfile|dump/is"
    );
    $str = preg_replace($farr,'',$str);
    return $str;
}
//防止sql注入,xss攻击(2)
public function post_check($post) {
   if(!get_magic_quotes_gpc()) {
     foreach($post as $key=>$val){
       $post[$key] = addslashes($val);
     }
    }
   foreach($post as $key=>$val){
    //把"_"过滤掉
    $post[$key] = str_replace("_", "\_", $val);
    //把"%"过滤掉
    $post[$key] = str_replace("%", "\%", $val); //sql注入
    $post[$key] = nl2br($val);
    //转换html
    $post[$key] = htmlspecialchars($val); //xss攻击
   }
   return $post;
}

调用:

//防止sql
$post=$this->post_check($_POST);
//var_dump($post);die;
$u_name=trim($post['u_name']);
$pwd=trim($post['pwd']);
if(empty($u_name)||empty($pwd))
{
  exit('字段不能非空');
}
$u_name=$this->actionFilterArr($u_name);
$pwd=$this->actionFilterArr($pwd);
//防止sql注入,xss攻击
$u_name=$this->actionClean(Yii::$app->request->post('u_name'));
$pwd=$this->actionClean(Yii::$app->request->post('pwd'));
$email=$this->actionClean(Yii::$app->request->post('email'));
//防止csrf攻击
$session=Yii::$app->session;
$csrf_token=md5(uniqid(rand(),TRUE));
$session->set('token',$csrf_token);
$session->set('token',time());
//接收数据
if($_POST)
{
  if(empty($session->get('token')) && $session->get('token')!=Yii::$app->request->post('token') && (time()-$session->get('token_time'))>30){
    exit('csrf攻击');
  }
  //防止sql
  .....

(必须放在接收数据之外)

注意:

表单提交值,为防止csrf攻击,控制器中需要加上:

//关闭csrf
piblic $enableCsrfValidation = false;

更多关于Yii相关内容感兴趣的读者可查看本站专题:《Yii框架入门及常用技巧总结》、《php优秀开发框架总结》、《smarty模板入门基础教程》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总

希望本文所述对大家基于Yii框架的PHP程序设计有所帮助。

相关文章

  • destoon整合UCenter图文教程

    destoon整合UCenter图文教程

    这篇文章主要介绍了destoon整合UCenter的方法,需要的朋友可以参考下
    2014-06-06
  • Centos下升级php5.2到php5.4全记录(编译安装)

    Centos下升级php5.2到php5.4全记录(编译安装)

    这篇文章主要介绍了Centos下升级php5.2到php5.4全记录(编译安装),本文还同时讲解了解决htmlspecialchars默认编码UTF-8问题的解决方法,需要的朋友可以参考下
    2015-04-04
  • 利用ajax和PHP实现简单的流程管理

    利用ajax和PHP实现简单的流程管理

    这篇文章主要为大家详细介绍了ajax和PHP实现简单的流程管理,具有一定的参考价值,感兴趣的小伙伴们可以参考一下
    2017-03-03
  • php示例详解Constructor Prototype Pattern 原型模式

    php示例详解Constructor Prototype Pattern 原型模式

    原型模式是一种创建者模式,其特点在于通过“复制”一个已经存在的实例来返回新的实例,而不是新建实例。
    2015-10-10
  • smarty中js的调用方法示例

    smarty中js的调用方法示例

    这篇文章主要介绍了smarty中js的调用方法示例,是smarty模板设计中经常会遇到的问题,非常实用,需要的朋友可以参考下
    2014-10-10
  • php如何把表单内容提交到数据库

    php如何把表单内容提交到数据库

    这篇文章主要介绍了php如何吧表单内容提交到数据库,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
    2019-07-07
  • 如何让CI框架支持service层

    如何让CI框架支持service层

    本文主要介绍了在controller和model中加一个业务层service,由它来负责业务逻辑,封装好的调用接口可以被controller复用,提高了通用的业务逻辑的复用性,设计到具体业务实现会调用Model的接口。
    2014-10-10
  • iOS10推送通知开发教程

    iOS10推送通知开发教程

    这篇文章主要为大家详细介绍了iOS 10推送通知开发教程,具有一定的参考价值,感兴趣的小伙伴们可以参考一下
    2016-09-09
  • 深入解析php之sphinx

    深入解析php之sphinx

    本篇文章是对php中sphinx的使用进行了详细的分析介绍,需要的朋友参考下
    2013-05-05
  • 深入理解Yii2.0乐观锁与悲观锁的原理与使用

    深入理解Yii2.0乐观锁与悲观锁的原理与使用

    这篇文章主要介绍了深入理解Yii2.0乐观锁与悲观锁的原理与使用,具有一定的参考价值,感兴趣的小伙伴们可以参考一下。
    2017-07-07

最新评论