制作安全性高的PHP网站的几个实用要点

大家都知道PHP已经是当前最流行的Web应用编程语言了。但是也与其他脚本语言一样，PHP也有几个很危险的安全漏洞。所以在这篇教学文章中，我们将大致看看几个实用的技巧来让你避免一些常见的PHP安全问题。

技巧1：使用合适的错误报告

一般在开发过程中，很多程序员总是忘了制作程序错误报告，这是极大的错误，因为恰当的错误报告不仅仅是最好的调试工具，也是极佳的安全漏洞检测工具，这能让你把应用真正上线前尽可能找出你将会遇到的问题。
当然也有很多方式去启用错误报告。比如在 php.in 配置文件中你可以设置在运行时启用

启动错误报告
error_reporting(E_ALL);

停用错误报告
error_reporting(0);

技巧2：不使用PHP的Weak属性

有几个PHP的属性是需要被设置为OFF的。一般它们都存在于PHP4里面，而在PHP5中是不推荐使用的。尤其最后在PHP6里面，这些属性都被移除了。

注册全局变量
当 register_globals 被设置为ON时，就相当于设置Environment，GET,POST,COOKIE或者Server变量都定义为全局变量。此时你根本不需要去写 $_POST[‘username']来获取表单变量'username'，只需要'$username'就能获取此变量了。
那么你肯定在想既然设置 register_globals 为 ON 有这么方便的好处，那为什么不要使用呢？因为如果你这样做将会带来很多安全性的问题，而且也可能与局部变量名称相冲突。
比如先看看下面的代码：

代码如下:

if( !empty( $_POST[‘username'] ) && $_POST[‘username'] == ‘test123′ && !empty( $_POST[‘password'] ) && $_POST[‘password'] == “pass123″ )
{
$access = true;
}

如果运行期间, register_globals 被设置为ON，那么用户只需要传输 access=1 在一句查询字符串中就能获取到PHP脚本运行的任何东西了。
在.htaccess中停用全局变量

代码如下:

php_flag register_globals 0

在php.ini中停用全局变量

代码如下:

register_globals = Off

停用类似 magic_quotes_gpc, magic_quotes_runtime, magic_quotes_sybase 这些Magic Quotes
在.htaccess文件中设置

代码如下:

php_flag magic_quotes_gpc 0
php_flag magic_quotes_runtime 0

在php.ini中设置

代码如下:

magic_quotes_gpc = Off
magic_quotes_runtime = Off
magic_quotes_sybase = Off

技巧3：验证用户输入

你当然也可以验证用户的输入，首先必须知道你期望用户输入的数据类型。这样就能在浏览器端做好防御用户恶意攻击你的准备。

技巧4：避免用户进行交叉站点脚本攻击

在Web应用中，都是简单地接受用户输入表单然后反馈结果。在接受用户输入时，如果允许HTML格式输入将是非常危险的事情，因为这也就允许了JavaScript以不可预料的方式侵入后直接执行。哪怕只要有一个这样漏洞，cookie数据都可能被盗取进而导致用户的账户被盗取。

技巧5：预防SQL注入攻击

PHP基本没有提供任何工具来保护你的数据库，所以当你连接数据库时，你可以使用下面这个mysqli_real_escape_string 函数。

代码如下:

$username = mysqli_real_escape_string( $GET[‘username'] );
mysql_query( “SELECT * FROM tbl_employee WHERE username = '”.$username.“‘”);

好了，在这篇简短的文章中，我们阐述了几个开发过程中不能忽视的PHP安全性问题。但是最终是否使用，如何使用还是开发人员来决定的。希望这篇文章能帮助到你们。

赞 (0)

相关推荐

  • PHP实用函数分享之去除多余的0

    代码很简洁,也很简单,就不多废话了. 复制代码 代码如下: /**  * 去除多余的0  */  function del0($s)  {      $s = trim(strval($s));      if (preg_match('#^-?\d+?\.0+$#', $s)) {          return preg_replace('#^(-?\d+?)\.0+$#','$1',$s);      }       if (preg_match('#^-?\d+?\.[0-9]+?0+$

  • PHPStrom中实用的功能和快捷键大全

    有哪些快捷键或者PHPStrom出的特有的功能,让你觉得编写过程变得很舒服和快捷? CTRL + j 能够快捷的输入常用的代码片段,类似vim的 snipMate,可以加入自定义代码片段 find every thing phpstorm 支持类名.文件名等的单独搜索,我常用的是直接全部搜索.find every thing 需要自定义快捷键 很精确的函数.类名.变量等的定位,支持命名空间.不得不承认做的的确很好,比vim + ctag好太多了 alt + F7 find usages 功能,可

  • Thinkphp中的curd应用实用要点

    这个主要闲的没事给大家写一下curd的具体应用,当然这里边主要讲curd,我做的是用户的增删改查,没有用三大自动 首先 复制代码 代码如下: class IndexAction extends Action { public function index(){ header("Content-Type:text/html; charset=utf-8″); $user=M('user'); $list=$user->select(); $this->assign('user',$li

  • 非常实用的PHP常用函数汇总

    本文实例总结了一些在php应用开发中常用到的函数,这些函数有字符操作,文件操作及其它的一些操作了,分享给大家供大家参考.具体如下: 1.PHP加密解密 PHP加密和解密函数可以用来加密一些有用的字符串存放在数据库里,并且通过可逆解密字符串,该函数使用了base64和MD5加密和解密. 复制代码 代码如下: function encryptDecrypt($key, $string, $decrypt){     if($decrypt){         $decrypted = rtrim(m

  • 几个实用的PHP内置函数使用指南

    几个实用的PHP内置函数使用指南

    PHP有许多内置函数,其中大多数函数都被程序员广泛使用.但也有一些函数隐藏在角落,本文将向大家介绍7个鲜为人知,但用处非常大的函数. 没用过的程序员不妨过来看看. 1.highlight_string() 当需要在一个网站中展示PHP代码时,highlight_string()函数就变的非常有用了.该函数通过使用PHP语法高亮程序中定义的颜色,输出或返回给定的PHP代码的语法高亮版本. 示例: 复制代码 代码如下: <?php highlight_string('<?php phpinfo()

  • 7个鲜为人知却非常实用的PHP函数

    概述 PHP有着众多的内置函数,其中大多数函数都被开发者广发使用.但也有一些同样有用却被遗忘在角落,本文将介绍7个鲜为人知功能却非常酷的函数. highlight_string() 当需要在网页中展示PHP代码时,highlight_string()函数就显得非常有用.该函数通过PHP内置定义的颜色,返回函数中代码的高亮显示版本. 复制代码 代码如下: <?php     highlight_string('<?php echo "hello world" ; ?>'

  • 9段PHP实用功能的代码推荐

    一.查看邮件是否已被阅读 当你在发送邮件时,你或许很想知道该邮件是否被对方已阅读.这里有段非常有趣的代码片段能够显示对方IP地址记录阅读的实际日期和时间. 复制代码 代码如下: <? error_reporting(0); Header("Content-Type: image/jpeg");   //Get IP if (!empty($_SERVER['HTTP_CLIENT_IP'])) {   $ip=$_SERVER['HTTP_CLIENT_IP']; } elsei

  • PHP实现简单实用的验证码类

    本文实例讲述了PHP实现简单实用的验证码类.分享给大家供大家参考.具体如下: <?php /** * @version 1.0 * @author bolted snail * @date 2011-10-15 * @PHP验证码类 * 使用方法: * $image=new Captcha(); * $image->config('宽度','高度','字符个数','验证码session索引'); * $image->create();//这样就会向浏览器输出一张图片 * //所有参数都可

  • 9个实用的PHP代码片段分享

    一．查看邮件是否已被阅读        当你发送邮件时,你肯定很想知道你的邮件是否已被对方查看.下面的代码就能实现记录阅读你邮件的IP地址,还有实际的阅读日期和时间. 复制代码 代码如下: error_reporting(0); Header("Content-Type: image/jpeg"); //Get IP if (!empty($_SERVER['HTTP_CLIENT_IP'])) {   $ip=$_SERVER['HTTP_CLIENT_IP']; } elseif

  • 6个超实用的PHP代码片段

    一.黑名单过滤 function is_spam($text, $file, $split = ':', $regex = false){ $handle = fopen($file, 'rb'); $contents = fread($handle, filesize($file)); fclose($handle); $lines = explode("n", $contents); $arr = array(); foreach($lines as $line){ list($w

  • 一个经典实用的PHP图像处理类分享

    本图像处理类可以完成对图片的缩放.加水印和裁剪的功能,支持多种图片类型的处理,缩放时进行优化等. <?php /** file: image.class.php 类名为Image 图像处理类,可以完成对各种类型的图像进行缩放.加图片水印和剪裁的操作. */ class Image { /* 图片保存的路径 */ private $path; /** * 实例图像对象时传递图像的一个路径,默认值是当前目录 * @param string $path 可以指定处理图片的路径 */ function

  • PHP判断字符串长度的两种方法很实用

    php程序中字符串长度判断,可以使用strlen. 方法一: $str = 'aaaaaa'; if(strlen($str) > 6){ echo "字符串大于6"; } 方法二: if(isset($str{6}){ } 以上两种方法,第二种效率更高些. 在PHP中,所有的变量都是用一个结构-zval来保存的,strlen虽然是直接获取其中的len,但是仍然有一次函数调用,而isset是PHP的语法结构,所以更快!所以在判断字符串是否大于或小于多少个字符时可以使用第二种方法.

  • 四个PHP非常实用的功能

    最近写的几个PHP实用功能整理了一下,弄成一个文档,写上说明,方便以后使用!一共有4个PHP实用功能,现在跟大家分享,喜欢的朋友可以把它收藏起来,说不定以后用得上. 1. PHP函数的任意数目的参数 您可能知道PHP允许你定义一个默认参数的函数.但您可能并不知道PHP还允许你定义一个完全任意的参数的函数 下面是一个示例向你展示了默认参数的函数: // 两个默认参数的函数 function foo($arg1 = '', $arg2 = '') { echo "arg1: $arg1\n"

  • 一款简单实用的php操作mysql数据库类

    本文实例讲述了一款简单实用的php操作mysql数据库类.分享给大家供大家参考.具体如下: 复制代码 代码如下: /* 本款数据库连接类,他会自动加载sql防注入功能,过滤一些敏感的sql查询关键词,同时还可以增加判断字段 show table status的性质与show table类 获取数据库所有表名等.*/ @ini_set('mysql.trace_mode','off'); class mysql {  public $dblink;  public $pconnect;  priv

  • 简单实用的PHP防注入类实例

    本文实例讲述了简单实用的PHP防注入类.分享给大家供大家参考.具体如下: PHP防注入注意要过滤的信息基本是get,post,然后对于sql就是我们常用的查询,插入等等sql命令了,下面我给各位整理两个简单的例子,希望这些例子能给你网站带来安全. PHP防注入类代码如下: 复制代码 代码如下: <?php /**  * 参数处理类  * @author JasonWei  */ class Params {     public $get = array();       public $pos

随机推荐