PHP的5个安全措施小结

开发人员、数据库架构师和系统管理员在部署PHP应用程序到服务器之前都应该采取预防措施。大部分预防措施可以通过几行代码或者把应用程序设置稍作调整即可完成。

　　#1：管理安装脚本

　　如果开发人员已经安装了一套第三方应用程序的PHP脚本，该脚本用于安装整个应用程序的工作组件，并提供一个接入点。大多数第三方软件包都建议在安装后，删除该目录包含的安装脚本。但开发人员希望保留安装脚本，他们可以创建一个.htaccess文件来控制管理访问目录。

　　AuthType Basic

　　AuthName “Administrators Only”

　　AuthUserFile /usr/local/apache/passwd/passwords

　　Require valid-user

　　任何未经授权的用户，如果试图访问一个受保护的目录，将会看到一个提示，要求输入用户名和密码。密码必须匹配指定的“passwords”文件中的密码。

　　#2：头文件

　　在很多情况下，开发人员可以将分布在应用程序的几个脚本包含进一个脚本里。这些脚本将包含一个“include”指令，集成单个文件到原始页面的代码里。当“include”文件包含敏感信息，包括用户名、密码和数据库访问密钥时，该文件的扩展名应该命名成“.php "，而不是典型的“.inc”扩展。“.php”扩展确保php引擎将处理该文件，并防止任何未经授权的访问。

　　#3: MD5 vs. SHA

　　在某些情况下，用户最终会创建自己的用户名和密码，而站点管理员通常会对表单提交的密码加密，并保存在数据库中。在过去的几年中，开发人员会使用MD5(消息摘要算法)函数，加密成一个128位的字符串密码。今天，很多开发人员使用SHA-1(安全散列算法)函数来创建一个160位的字符串。

　　#4: 自动全局变量

　　php.ini文件中包含的设置称为“register_globals”。P服务器会根据register_globals的设置，将会为服务器变量和查询字符串自动创建全局变量。在安装第三方的软件包时，比如内容管理软件，像Joomla和Drupal，安装脚本将引导用户把register_globals设置为“关闭”。将设置改变为“关闭”可以确保未经授权的用户无法通过猜测变量名称及验证密码来访问数据。

　　#5: 初始化变量和值

　　许多开发人员都落入了实例化变量不赋值的陷阱，原因可能由于时间的限制而分心，或缺乏努力。身份验证过程中的变量，应该在用户登录程序开始前就有值。这个简单的步骤可以防止用户绕过验证程序或访问站点中某些他们没有权限的区域

赞 (0)

相关推荐

  • PHP的5个安全措施小结

    开发人员.数据库架构师和系统管理员在部署PHP应用程序到服务器之前都应该采取预防措施.大部分预防措施可以通过几行代码或者把应用程序设置稍作调整即可完成. #1:管理安装脚本 如果开发人员已经安装了一套第三方应用程序的PHP脚本,该脚本用于安装整个应用程序的工作组件,并提供一个接入点.大多数第三方软件包都建议在安装后,删除该目录包含的安装脚本.但开发人员希望保留安装脚本,他们可以创建一个.htaccess文件来控制管理访问目录. AuthType Basic AuthName "Administr

  • window下注册服务的命令小结

    1. 描述:     SC 是用于与服务控制管理器通信的命令行程序 .    用法:  sc <server> [command] [service name] <option1> <option2>... 选项 <server> 的格式为 可以键入 "sc [command]"以获得命令的进一步帮助 命令: query---------------查询服务的状态,或枚举服务类型的状态.           queryex--------

  • Spring Boot Actuator监控端点小结

    Spring Boot Actuator监控端点小结

    在Spring Boot的众多Starter POMs中有一个特殊的模块,它不同于其他模块那样大多用于开发业务功能或是连接一些其他外部资源.它完全是一个用于暴露自身信息的模块,所以很明显,它的主要作用是用于监控与管理,它就是:spring-boot-starter-actuator. spring-boot-starter-actuator模块的实现对于实施微服务的中小团队来说,可以有效地减少监控系统在采集应用指标时的开发量.当然,它也并不是万能的,有时候我们也需要对其做一些简单的扩展来帮助我们

  • 基于BootStrap Metronic开发框架经验小结【二】列表分页处理和插件JSTree的使用

    基于BootStrap Metronic开发框架经验小结【二】列表分页处理和插件JSTree的使用

    在上篇基于BootStrap Metronic开发框架经验小结[一]框架总览及菜单模块的处理,介绍了Bootstrap开发框架的一些基础性概括,包括总体界面效果,以及布局.菜单等内容,本篇继续这一主题,介绍页面内容常用到的数据分页处理,以及Bootstrap插件JSTree的使用. 在数据的界面显示当中,表格数据的展示以及分页是非常常见的处理操作,利用Bootstrap的样式布局,以及JQuery的Ajax数据处理,就能很好实现数据的动态展示和分页处理. 1.列表展示和分页处理1)数据的列表展示

  • phpStudy2016 配置多个域名期间遇到的问题小结

    phpStudy2016 配置多个域名期间遇到的问题小结

    第一步 在C:\Windows\System32\drivers\etc下的hosts文件下添加 第二步找到Apache 下的httpd.conf 文件 打开,去掉171行前边的# 第三步在apache的配置文件vhosts.conf中,配置以下内容 重启Apache就可以....域名配好了..此时又有问题了 浏览器出这样的页面 但是当你输入www.test.com/index.php时就可以访问index.php的程序需要写完整路径....怎么破...将第三步中的18行注释掉 或把option

  • JavaScript正则表达式小结(test|match|search|replace|split|exec)

    学JavaScript正则的好文一篇:http://www.cainiao8.com/web/js_note/js_regular_expression.html test:测试string是否包含有匹配结果,包含返回true,不包含返回false. <script type="text/javascript"> var str = "bbs.byr.cn"; var reg = /b/; var ret = reg.test(str); alert(r

  • 正则表达式小结篇

    正则表达式就是由普通字符(例如字符 a 到 z)以及特殊字符(称为元字符)组成的文字模式.该模式描述在查找文字主体时待匹配的一个或多个字符串.正则表达式作为一个模板,将某个字符模式与所搜索的字符串进行匹配. 下面小编给大家总结了些关于正则表达式知识点,具体内容如下所示: 1.元字符 [拥有特殊含义的元字符]   \d -> 匹配一个0-9的数字,相当于[0-9],和它相反的是\D ->匹配一个除了0-9的任意字符   \w -> 匹配一个0-9.a-z.A-Z._的数字或字符,相当于[0

  • python字符类型的一些方法小结

    int 数字类型 class int(object): """ int(x=0) -> int or long int(x, base=10) -> int or long Convert a number or string to an integer, or return 0 if no arguments are given. If x is floating point, the conversion truncates towards zero. If

  • android studio 3.0 升级 项目遇到的问题及更改思路(问题小结)

    android studio 3.0 升级 项目遇到的问题及更改思路(问题小结)

    Android Studio从3.0版本新增了许多功能,当然首当其冲就是从3.0版本新增了对 Kotlin 开发语言的支持,除此之外还有其他一些新功能,例如:Android Profiler (其中包含了: CPU Profiler.Memory Profiler.Network Profiler ),APK Debugger,Device File Explorer,Java 8 Language Features等. android studio 3.0版本升级问题修改: ===> 问题一

  • js在ie下打开对话窗口的方法小结

    对话框的性质分为模态对话框和非模态对话框: 1.模态对话框: 打开该对话框之后,在该对话框之外的一切操作都是被禁止的,要想进行其他操作,必须先关闭本对话框. js命令: showModalDialog(); 2.非模态对话框: 和模态对话框相反,打开之后,仍可以进行对话框之外的操作. js命令: showModelessDialog(); 以上就是小编为大家带来的js在ie下打开对话窗口的方法小结全部内容了,希望大家多多支持我们~

随机推荐