PHP安全技术之 实现php基本安全
发布时间：2020-12-13 05:47:08 所属栏目：PHP教程 来源：网络整理
导读：1.不要依赖注册全局变量功能（register_globals） 注册全局变量的出现曾经让PHP变得非常易用，但也降低了安全性（方便之处经常会破坏安全性）。建议在编程时把register_globals指令关闭，在PHP6中这个功能也会被取消。 2.在使用变量之前对其进行初始化。 如
1.不要依赖注册全局变量功能（register_globals）注册全局变量的出现曾经让PHP变得非常易用，但也降低了安全性（方便之处经常会破坏安全性）。建议在编程时把register_globals指令关闭，在PHP6中这个功能也会被取消。2.在使用变量之前对其进行初始化。如果register_globals功能是启动的，即使程序员不使用它，恶意用户也可能利用为初始化变量的漏洞来侵入我们的系统。比如： if(conditon){ $auth=TRUE; } 如果变量$auth没有在这段之前被初始化为FALSE，那么用户就可以向脚本传递$_GET[‘auth']、$_POST[‘auth']或$_COOKIE[‘auth']轻易的实现验证。3.检验和净化全部输入数据。 4.在利用变量引用包含文件时要小心。 如果脚本中有这样的代码： require($page); 那么就应该确保$page不会来自外部资源（比如$_GET），或者，如果它的确来自于外部资源，那么就要确保它包含适当的值。 5.在使用任何服务器上执行命令的函数都要多加小心。这些函数包括eval（）、exec（）、system（）、passthru（）、popen（）和反撇号（``）。这些函数都能够在服务器上执行命令，永远都不要随意使用。如果在命令里不得不包含便来那个，就应该对这个变量进行彻底的安全检查。还应该使用escapeshellarg() escapeshellcom()进行额外的预处理。6.更改默认的会话目录，或者使用数据库保存会话数据。7.不要使用浏览器提供的文件名在服务器上保存上传的文件。8.如果被提交的数据需要在web页面中重新显示，一定要注意其中的HTML,更重要的是JAVASCRIPT 可以利用函数 string htmlspecialchars ( string string [,int quote_style [,string charset]]) 对提交的数据进行处理 9。不要在站点上暴露你的PHP错误信息 PHP错误信息能够在你开发的过程中把错误信息输出方便你的检查，但是如果暴露在Web上面，很可以成为攻击者的入口。 10.防止SQL注入攻击。应该使用特定语言的数据库转义函数，比如mysqli_real_escape_data(),确保提交的内容不会破坏查询操作。11.永远不要在服务器上保存phpinfo()脚本。（编辑：李大同） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |