|
|
關于 Web 應用程序安全性，必須認識到的第一件事是不應該信任外部數(shù)據(jù)。外部數(shù)據(jù)(outside data) 包括不是由程序員在 php 代碼中直接輸入的任何數(shù)據(jù)。在采取措施確保安全之前，來自任何其他來源(比如 GET 變量、表單 POST、數(shù)據(jù)庫、配置文件、會話變量或 cookie)的任何數(shù)據(jù)都是不可信任的。
對用戶輸入進行清理的一個簡單方法是，使用正則表達式來處理它。
規(guī)則 2：禁用那些使安全性難以實施的 php 設置
已經知道了不能信任用戶輸入，還應該知道不應該信任機器上配置 php 的方式。例如，要確保禁用 register_globals。如果啟用了 register_globals，就可能做一些粗心的事情，比如使用 $variable 替換同名的 GET 或 POST 字符串。通過禁用這個設置，php 強迫您在正確的名稱空間中引用正確的變量。要使用來自表單 POST 的變量，應該引用 $_POST['variable']。這樣就不會將這個特定變量誤會成 cookie、會話或 GET 變量。
要 檢查的第二個設置是錯誤報告級別。在開發(fā)期間，希望獲得盡可能多的錯誤報告，但是在交付項目時，希望將錯誤記錄到日志文件中，而不是顯示在屏幕上。為什么 呢?因為惡意的黑客會使用錯誤報告信息(比如 SQL 錯誤)來猜測應用程序正在做什么。這種偵察可以幫助黑客突破應用程序。為了堵住這個漏洞，需要編輯 php.ini 文件，為 error_log 條目提供合適的目的地，并將 display_errors 設置為 Off。
規(guī)則 3：如果不能理解它，就不能保護它
一些開發(fā)人員使用奇怪的語法，或者將語句組織得很緊湊，形成簡短但是含義模糊的代碼。這種方式可能效率高，但是如果您不理解代碼正在做什么，那么就無法決定如何保護它。
規(guī)則 4：“縱深防御” 是新的法寶
即使使用 php regex 來確保 GET 變量完全是數(shù)字的，仍然可以采取措施確保 SQL 查詢使用轉義的用戶輸入。
縱深防御不只是一種好思想，它可以確保您不會陷入嚴重的麻煩。
php技術：PHP 編程安全性小結，轉載需保留來源！
鄭重聲明：本文版權歸原作者所有，轉載文章僅為傳播更多信息之目的，如作者信息標記有誤，請第一時間聯(lián)系我們修改或刪除，多謝。
