PHP開發不能違背的安全規則

標籤：http   io   ar   os   使用   java   sp   檔案   資料   

作為PHP（PHP培訓 php教程 ）程式員，特別是新手，對於互連網的險惡總是知道的太少，對於外部的入侵有很多時候是素手無策的，他們根本不知道駭客是如何入侵的、提交入侵、上傳漏洞、sql 注入、跨指令碼攻擊等等。作為最基本的防範你需要注意你的外部提交，做好第一面安全機制處理防火牆。

　　規則 1：絕不要信任外部資料或輸入

　　關於Web應用程式安全性，必須認識到的第一件事是不應該信任外部資料。外部資料(outside data) 包括不是由程式員在PHP代碼中直接輸入的任何資料。在採取措施確保安全之前，來自任何其他來源(比如 GET 變數、表單 POST、資料庫、設定檔、會話變數或 cookie)的任何資料都是不可信任的。

　　例如，下面的資料元素可以被認為是安全的，因為它們是在PHP中設定的。

　　清單 1. 安全無暇的代碼

　　$myUsername = ‘tmyer’;

　　$arrayarrayUsers = array(‘tmyer’, ‘tom’, ‘tommy’);

　　define(“GREETING”, ‘hello there’ . $myUsername);

　　?>

　　但是，下面的資料元素都是有瑕疵的。

　　清單 2. 不安全、有瑕疵的代碼

　　$myUsername = $_POST[‘username‘]; //tainted!

　　$arrayarrayUsers = array($myUsername, ‘tom’, ‘tommy’); //tainted!

　　define(“GREETING”, ‘hello there’ . $myUsername); //tainted!

　　?>

　　為什麼第一個變數$myUsername 是有瑕疵的?因為它直接來自表單 POST。使用者可以在這個輸入欄位中輸入任何字串，包括用來清除檔案或運行以前上傳的檔案的惡意命令。您可能會問，“難道不能使用只接受字母 A-Z 的用戶端(Javascrīpt)表單檢驗指令碼來避免這種危險嗎?”是的，這總是一個有好處的步驟，但是正如在後面會看到的，任何人都可以將任何錶單下載到自己的機器上，修改它，然後重新提交他們需要的任何內容。

　　解決方案很簡單：必須對$_POST[‘username‘] 運行清理代碼。如果不這麼做，那麼在使用$myUsername的任何其他時候(比如在數組或常量中)，就可能汙染這些對象。對使用者輸入進行清理的一個簡單方法是，使用Regex來處理它。在這個樣本中，只希望接受字母。將字串限制為特定數量的字元，或者要求所有字母都是小寫，這可能也是個好主意。

　　清單 3. 使使用者輸入變得安全

　　$myUsername = cleanInput($_POST[‘username‘]); //clean!

　　$arrayarrayUsers = array($myUsername, ‘tom’, ‘tommy’); //clean!

　　define(“GREETING”, ‘hello there’ . $myUsername); //clean!

　　function cleanInput($input){ $clean = strtolower($input);

　　$clean = preg_replace(“/[^a-z]/”, “”, $clean);

　　$clean = substr($clean,0,12);return $clean;

　　}

　　?>

PHP開發不能違背的安全規則