PHP代码安全策略

GT 发布于2019-06-27 10:37 / 3023人阅读

摘要：文件系统安全如果具有权限，且在脚本中允许用户删除文件，那么用户提交数据，不进行过滤，就非常有可能删除系统文件从用户目录中删除指定的文件上面的代码，假设用户提交的值是，那么目录就会被删除防范文件系统攻击，策略如下只给有限的权限用户提交上来的变

文件系统安全

php如果具有root权限，且在脚本中允许用户删除文件，那么用户提交数据，不进行过滤，就非常有可能删除系统文件

上面的代码，假设用户提交的$userfile值是 ../etc/，那么/etc目录就会被删除
防范文件系统攻击，策略如下

只给php有限的权限

用户提交上来的变量要监测和过滤，不能包含文件路径等特殊字符

尽量避免使用PHP操作文件（删除），如果有这方面的需求，那用户可删除文件也必须是系统生成的随机名称，不可被用户控制

数据库安全

数据库安全主要防范的是sql injection，即sql注入攻击，

提升数据库安全的策略如下：

不用使用root帐号或者数据库所有者帐号连接数据库，连接数据库限定连接用户的ip

使用php的pdo扩展，有效防止sql注入，除了安全方面的优势，php的pdo扩展在性能方面有有很大优势
请参看 http://php.net/manual/en/pdo.prepared-statements.php

对一些敏感信息进行加密，常见的比如对密码进行加密

用户数据过滤

对用户数据过滤，可以防范XSS和CSRF攻击

使用白名单（用户输入是固定模式）的方式
比如用户名只能使用数字字母，那么可以使用函数ctype_alnum判断

对用户输入使用函数 htmlentities或者htmlspecialchars进行处理，输入url不允许传入非http协议

用户身份验证使用令牌 token(csrf)
http://htmlpurifier.org/ HTML Purifier 是开源的防范xss攻击的有效解决方案，

其他安全策略

线上环境关闭错误报告(error_reporting,dislay_erros，可在php.ini中配置error_log路径，记录错误信息，这样有助于发现可能的用户攻击)

魔术引号特性，不要开启，在PHP-5.4中已经被移除

尽量使用PHP的最新版本，最新版本修复了已知的很多安全漏洞和bug

代码中严格遵守上述策略，基本能保证代码不会有太多的安全漏洞，能防范常见攻击。
欢迎补充。

GPU云服务器云服务器 php源代码保证安全安全策略本地安全策略安全策略拦截

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/20699.html

浏览器同源策略，及跨域解决方案

摘要：三哪些会受到同源策略限制对于浏览器来说，除了会受到同源策略的限制外，浏览器加载的一些第三方插件也有各自的同源策略。九的现代浏览器允许脚本直连一个地址而不管同源策略。一、Origin（源）源由下面三个部分组成：域名端口协议两个 URL ，只有这三个都相同的情况下，才可以称为同源。下来就以 http://www.example.com/page.html 这个链接来比较说...

scq000 2019-08-23 12:08 评论0 收藏0
php性能怎么优化?php性能优化及安全策略

摘要：性能问题一般不会超过占整个项目性能的，一般在。内置函数的性能优劣。几乎与在函数中调用局部变量的速度相当。递增一个全局变量要比递增一个局部变量慢倍。类似的方法调用所花费的时间接近于次的局部变量递增操作。 php性能怎么优化?性能是网站运行是否良好的关键因素，网站的性能与效率影响着公司的运营成本及长远发展，编写出高质高效的代码是我们每个开发人员必备的素质,也是我们良好...

番茄西红柿 2021-11-29 11:00 评论0 收藏2637
前端跨域之原因&&方案&&原理

摘要：于是乎同源策略应运而生主要限制在于和无法读取。怎么绕过同源策略首先一般来说协议和端口造成的跨域问题大部分方法是没有办法绕过的。二级域名是寄存在主域名之下的域名。当主域名受到惩罚二级域名也会连带惩罚。前言这是一道前端跨不过躲不掉面试必备的知识,挣扎多年没能做到刻骨铭心深入脊髓,只能好好写篇博文记录起来了; 什么是跨域？广义来说,A域执行的文档脚本试图去请求B域下的资源是不被允许的,...

Zack 2019-08-26 10:34 评论0 收藏0