日期：2012-01-12 10:18:00 来源：本站整理

PHP开辟安全法则之过滤用户输入[网站编程]

赞助商链接

分享到： QQ空间新浪微博腾讯微博人人网

　　本文“PHP开辟安全法则之过滤用户输入[网站编程]”是由七道奇为您精心收集，来源于网络转载，文章版权归文章作者所有，本站不对其观点以及内容做任何评价，请读者自行判断，以下是其具体内容：

作为PHP程序员,分外是新手,关于互联网的险恶老是知道的太少,关于外部的入侵有很多时刻是素手无策的,他们根本不知道黑客是若何入侵的、提交入侵、上传漏洞、sql 注入、跨脚本攻击等等.

作为最基本的防备你需求注意你的外部提交,做好第一面安全机制处理防火墙.

法则 1:毫不要信任外部数据或输入

关于Web利用程序安全性,必须熟习到的第一件事是不该该信任外部数据.外部数据(outside data) 包含不是由程序员在PHP代码中直接输入的任何数据.在采纳办法确保安全之前,来自任何其他根源(比方 GET 变量、表单 POST、数据库、配置文件、会话变量或 cookie)的任何数据都是不可托任的.

比方,下面的数据元素可以被认为是安全的,因为它们是在PHP中设置的.

代码以下:

<?php 
 
$myUsername = 'tmyer'; 
 
$arrayarrayUsers = array('tmyer', 'tom', 'tommy'); 
 
define(”GREETING”, 'hello there' . $myUsername); 
 
?>

但是,下面的数据元素都是有瑕疵的.

清单 2. 不安全、有瑕疵的代码

代码以下:

<?php 
 
$myUsername = $_POST['username']; //tainted! 
 
$arrayarrayUsers = array($myUsername, 'tom', 'tommy'); //tainted! 
 
define(”GREETING”, 'hello there' . $myUsername); //tainted! 
 
?>

为什么第一个变量 $myUsername 是有瑕疵的?因为它直接来自表单 POST.用户可以在这个输入域中输入任何字符串,包含用来排除文件或运行从前上传的文件的恶意号令.您大概会问,“莫非不能利用只承受字母 A-Z 的客户端（Javascrīpt）表单查验脚本来避免这种危险吗?”是的,这老是一个有好处的步骤,但是正如在背面会看到的,任何人都可以将任何表单下载到自己的机械上,改正它,然后重新提交他们需求的任何内容.

办理筹划很简单:必须对 $_POST['username'] 运行清理代码.假如不这么做,那么在利用 $myUsername 的任何其他时刻（比方在数组或常量中）,便大概污染这些对象.

对用户输入举行清理的一个简单办法是,利用正则表达式来处理它.在这个示例中,只但愿承受字母.将字符串限制为特定数目的字符,大概要求全部字母都是小写的,这大概也是个好主张.

清单 3. 利用户输入变得安全

代码以下:

<?php 
 
$myUsername = cleanInput($_POST['username']); //clean! 
 
$arrayarrayUsers = array($myUsername, 'tom', 'tommy'); //clean! 
 
define(”GREETING”, 'hello there' . $myUsername); //clean! 
 
function cleanInput($input){ 
 
$clean = strtolower($input); 
 
$clean = preg_replace(”/[^a-z]/”, “”, $clean); 
 
$clean = substr($clean,0,12); 
 
return $clean; 
 
} 
 
?>

法则 2:禁用那些使安全性难以实施的 PHP 设置

已经知道了不能信任用户输入,还应当知道不该该信任机械上配置 PHP 的方法.比方,要确保禁用 register_globals.假如启用了 register_globals,便大概做一些粗心的事情,比方利用 $variable 替换同名的 GET 或 POST 字符串.通过禁用这个设置,PHP 逼迫您在精确的名称空间中引用精确的变量.要利用来自表单 POST 的变量,应当引用 $_POST['variable'].这样就不会将这个特定变量曲解成 cookie、会话或 GET 变量.

法则 3:假如不能理解它,就不能保护它

一些开辟人员利用奇特的语法,大概将语句组织得很紧凑,形成简短但是含义模糊的代码.这种方法大概效率高,但是假如您不睬解代码正在做什么,那么就无法决意若何保护它.

比方,您喜好下面两段代码中的哪一段?

清单 4. 使代码简单得到保护

代码以下:

<?php 
 
//obfuscated code 
 
$input = (isset($_POST['username']) ? $_POST['username']:”); 
 
//unobfuscated code 
 
$input = ”; 
 
if (isset($_POST['username'])){ 
 
$input = $_POST['username']; 
 
}else{ 
 
$input = ”; 
 
} 
 
?>