PHP最佳实践之过滤、验证、转义和密码

HitenDev 发布于2019-06-27 17:09 / 1085人阅读

摘要：过滤验证和转义不要相信任何来自不受自己直接控制的数据源中的数据。加密和哈希不是一回事，加密是双向算法，加密的数据可以被解密。使用密码哈希简化计算密码哈希和验证密码的操作。密码的哈希值存储在类型的数据库列中。

过滤、验证和转义

1).不要相信任何来自不受自己直接控制的数据源中的数据。包括但不限于：

$_GET

$_POST

$_REQUEST

$_COOKIE

$argv

php://stdin

php://input

file_get_contents()

远程数据库

远程API

来自客户端的数据

2).解决办法：过滤输入。删除不安全的字符，在数据到达应用的存储层之前，必须过滤数据。需要过滤的数据包括不限于：HTML、SQL查询和用户资料信息。

HTML:使用htmlentities()函数过滤HTML成对应的实体。这个函数会转义制定字符的HTML字符，以便在存储层安全的渲染。正确的使用方式是使用htmlentities($input, ENT_QUOTES, "UTF-8")过滤输入。或者使用HTML Purifier。缺点是慢

SQL查询: 有时必须根据数据构建SQL查询。这时要要使用PDO预处理语句过滤外部数据。

用户资料信息:使用filter_var()和filter_input()过滤用户资料信息

3).验证数据：也可以使用filter_var()，验证成功返回要验证的值，失败返回false。但是这个函数无法验证所有数据，所以可以使用一些验证功能组件。例如aura/filter或者symfony/validator
4)转义输出：任然可以使用htmlentities这个函数，一些模板引擎也自带了转义功能。

密码

1).绝对不能知道用户的密码。
2).绝对不要约束用户的密码，要限制的话只限制最小长度。
3).绝对不能使用电子邮件发送用户的密码。你可以发送一个修改密码的链接，上面带一个token验证是用户本人就行了。
4).使用bcrypt计算用户密码的哈希值。加密和哈希不是一回事，加密是双向算法，加密的数据可以被解密。但是哈希是单项算法，哈希之后的数据无法被还原，想同的数据哈希之后得到的数据始终是相同的。使用数据库存储通过bcrypt哈希密码之后的值。
5).使用密码哈希API简化计算密码哈希和验证密码的操作。下面的注册用户的一般操作

POST /register.php HTTP/1.1
Content-Length： 43
Content-type: application/x-www-form-urlencoded

email=xiao@hello.world&password=nihao

下面是接受这个请求的PHP文件

 12]
     );

    if ($passwordHash === false) {
        throw new Exception("Password hash failed");
    }

    //创建用户账户，这里是虚构的代码
    $user = new User();
    $user->email = $email;
    $user->password_hash = $passwordHash;
    $user->save();
    header("HTTP/1.1 302 Redirect");
    header("Location: /login.php");
} catch (Exception $e) {
    header("HTTP1.1 400 Bad Request");
    echo $e->getMessage();
}

6).根据机器的具体计算能力修改password_hash()的第三个值。计算哈希值一般需要0.1s-0.5s。
7).密码的哈希值存储在varchar(255)类型的数据库列中。
8).登录用户的一般流程

POST /login.php HTTP1.1
Content-length: 43
Content-Type: application/x-www-form-urlencoded

email=xiao@hello.wordl&pasword=nihao

session_start();
try {
    $email = filter_input(INPUT_POST, "email");
    $password = filter_iinput(INPUT_POST, "password");

    $user = User::findByEmail($email);

    if (password_verify($password, $user->password_hash) === false) {
        throw new Exception(""Invalid password);
    }

    //如果需要的话，重新计算密码的哈希值
    $currentHasAlgorithm = PASSWORD_DEFAULT;
    $currentHashOptions = array("cost" => 15);
    $passwordNeedsRehash = password_needs_rehash(
        $user->password_hash,
        $currentHasAlgorithm,
        $currentHasOptions
    );
    if ($passwordNeedsRehash === true) {
        $user->password_hash = password_hash(
            $password,
            $currentHasAlgorithm,
            $currentHasOptions
        );

        $user->save();
    }

    $_SESSION["user_logged_in"] = "yes";
    $_SESSION["user_email"] = $email;

    header("HTTP/1.1 302 Redirect");
    header("Location: /user-profile.php");
} catch (Exception) {
    header("HTTP/1.1 401 Unauthorized");
    echo $e->getMessage();
}

9).PHP5.5.0版本之前的密码哈希API无法使用，推荐使用ircmaxell/password-compat组件。

专题系列

PHP专题系列目录地址：https://github.com/xx19941215/webBlog
PHP专题系列预计写二十篇左右，主要总结我们日常PHP开发中容易忽略的基础知识和现代PHP开发中关于规范、部署、优化的一些实战性建议，同时还有对Javascript语言特点的深入研究。

GPU云服务器云服务器最佳实践 webrtc最佳实践 cdn最佳实践 vpc最佳实践

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/23319.html

PHP｜开发必知的良好实践

摘要：使用类来管理日期和时间使用类来构造长度固定的时间段。时区的处理选择。预处理语句时的实例。简单而言，流是具有流式行为的资源对象。流的作用实际上是在出发地和目的地之间传输数据。错误由于某种原因导致无法运行，通常会触发错误。过滤、验证、转义所有这些外部资源都不能完全相信 $_GET $_POST $_REQUEST $_COOKIE $argv php://stdin php://in...

bingo 2019-06-27 13:50 评论0 收藏0
web安全基础

摘要：安全基础常见的安全攻击手段有很多，比如注入，，，头攻击，攻击，重定向攻击，上传文件攻击等，其中大多数都可以通过三种方法过滤代理转义实体化来解决。个人趋向于安全狗，同时安装服务器安全狗和网站安全狗可以有效地防护攻击。 web安全基础常见的web安全攻击手段有很多，比如SQL注入，XSS，CSRF，HTTP头攻击，cookie攻击，重定向攻击，上传文件攻击等，其中大多数都可以通过三种方法...

starsfun 2019-06-28 13:47 评论0 收藏0
PHP新手最佳实践

不要使用mysql_*系列函数，查询时尽量对sql语句进行预处理 PHP官方目前已经将此系列函数标记为弃用状态，添加PHP对mysql的支持，编译时使用下面的参数 --enable-mysqlnd --with-pdo-mysql --with-mysqli --with-mysql=mysqlnd mysql_*系列函数不支持预处理语句，事务，存储过程，异步查询，多条...

willin 2019-06-27 10:38 评论0 收藏0
总结 XSS 与 CSRF 两种跨站攻击

摘要：但最近又听说了另一种跨站攻击，于是找了些资料了解了一下，并与放在一起做个比较。脚本中的不速之客全称跨站脚本，是注入攻击的一种。 XSS：跨站脚本（Cross-site scripting） CSRF：跨站请求伪造（Cross-site request forgery）在那个年代，大家一般用拼接字符串的方式来构造动态 SQL 语句创建应用，于是 SQL 注入成了很流行的攻击方式。...

jcc 2019-08-19 17:53 评论0 收藏0