PHP安全編程小記

1,防範SQL注入,HTML中JS指令碼注入

原則：不要相信對於用戶端提交的值，必須經過安全處理後才可以使用。比如：

$variable = $_POST['user_input'];
$variable = mysql_real_escape_string($variable);
$variable = stripslashes($variable);
$variable = htmlentities($variable); //比如會將 <b>hi</b>轉化為&lt;b&gt;hi&lt;/b&gt
$variable = strip_tags($variable);//還可以去掉HTML標籤

通常的做法是：

function sanitizeString($var)
{
$var = stripslashes($var);
$var = htmlentities($var);
$var = strip_tags($var);
return $var;
}

 

function sanitizeMySQL($var)
{
$var = mysql_real_escape_string($var);
$var = sanitizeString($var);
return $var;
}

3,防範MD5密碼暴力密碼破解攻擊

許多網站資料庫被攻破後，其所儲存的MD5值會被用來作為對其它網站進行密碼猜測暴力密碼破解攻擊，因此我們需要構造不同於其他網站的MD5值，即使同一個使用者使用相同密碼，那麼在這裡的MD5值要與其在其他網站上所儲存的不一致，這時可用Salting技術，比如：
令salt=”he$&*sdf123”  passmd5=md5(“$salt” . “$password”);