首页 / PHP / 整理的一些PHP开发安全问题

整理的一些PHP开发安全问题

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了整理的一些PHP开发安全问题，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含4734字，纯文字阅读大概需要7分钟。

内容图文

整理一些PHP开发安全问题

　　php给了开发者极大的灵活性，但是这也为安全问题带来了潜在的隐患，近期需要总结一下以往的问题，在这里借翻译一篇文章同时加上自己开发的一些感触总结一下。

整理的一些PHP开发安全问题 - 文章图片

　简介

　　当开发一个互联网服务的时候，必须时刻牢记安全观念，并在开发的代码中体现。PHP脚本语言对安全问题并不关心，特别是对大多数没有经验的开发者来说。每当你讲任何涉及到钱财事务等交易问题时，需要特别注意安全问题的考虑，例如开发一个论坛或者是一个购物车等。

　安全保护一般性要点

不相信表单

　　对于一般的Javascript前台验证，由于无法得知用户的行为，例如关闭了浏览器的javascript引擎，这样通过POST恶意数据到服务器。需要在服务器端进行验证，对每个php脚本验证传递到的数据，防止XSS攻击和SQL注入

不相信用户

　　要假设你的网站接收的每一条数据都是存在恶意代码的，存在隐藏的威胁，要对每一条数据都进行清理

关闭全局变量

　　在php.ini文件中进行以下配置：

register_globals = Off

　　如果这个配置选项打开之后，会出现很大的安全隐患。例如有一个process.php的脚本文件，会将接收到的数据插入到数据库，接收用户输入数据的表单可能如下：

<input name="username" type="text" size="15" maxlength="64">

　　这样，当提交数据到process.php之后，php会注册一个$username变量，将这个变量数据提交到process.php，同时对于任何POST或GET请求参数，都会设置这样的变量。如果不是显示进行初始化那么就会出现下面的问题（参考：http://www.lai18.com/content/434606.html）

<?php
// Define $authorized = true only if user is authenticated
if (authenticated_user()) {
    $authorized = true;
}
?>

　　此处，假设authenticated_user函数就是判断$authorized变量的值，如果开启了register_globals配置，那么任何用户都可以发送一个请求，来设置$authorized变量的值为任意值从而就能绕过这个验证。

　　所有的这些提交数据都应该通过PHP预定义内置的全局数组来获取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一个$_GET/$_POST/$_COOKIE三个数组的联合变量，默认的顺序是$_COOKIE、$_POST、$_GET。

推荐的安全配置选项

　　error_reporting设置为Off：不要暴露错误信息给用户，开发的时候可以设置为ON

　　safe_mode设置为Off

　　register_globals设置为Off

　　将以下函数禁用：system、exec、passthru、shell_exec、proc_open、popen

　　open_basedir设置为 /tmp ，这样可以让session信息有存储权限，同时设置单独的网站根目录

　　expose_php设置为Off

　　allow_url_fopen设置为Off

　　allow_url_include设置为Off

　SQL注入攻击

　　对于操作数据库的SQL语句，需要特别注意安全性，因为用户可能输入特定语句使得原有的SQL语句改变了功能。类似下面的例子：

　扩展阅读

《PHP安全编程系列》系列技术文章整理收藏

PHP安全编程系列收藏夹收藏了有关PHP安全编程方面的知识，对PHP安全编程提供学习参考

1discuz的php防止sql注入函数

2php防止xss攻击的方法

3PHP安全编程：对输出要进行转义

4PHP安全编程：过滤用户输入

5PHP安全编程：可用性与数据跟踪

6PHP安全编程：不要让不相关的人看到报错信息

7PHP安全编程：register_globals的安全性

8PHP安全编程：网站安全设计的一些原则

9PHP安全编程：关于表单欺骗提交

10PHP安全编程：HTTP请求欺骗

11PHP安全编程：不要暴露数据库访问权限

12PHP安全编程：跨站请求伪造CSRF的防御

13PHP安全编程：表单与数据安全

14PHP安全编程：从URL的语义进行攻击

15PHP安全编程：文件上传攻击的防御

16PHP安全编程：跨站脚本攻击的防御

17PHP安全编程：session固定获取合法会话

18PHP安全编程：防止SQL注入

19PHP安全编程：cookie暴露导致session被劫持

20PHP安全编程：防止源代码的暴露

21PHP安全编程：留心后门URL

22PHP安全编程：session劫持的防御

23PHP安全编程：暴力破解攻击

24PHP安全编程：密码嗅探与重播攻击

25PHP安全编程：记住登录状态的安全做法

26PHP安全编程：shell命令注入

27PHP安全编程：打开远程文件的风险

28PHP安全编程：文件目录猜测漏洞

29PHP安全编程：阻止文件名被操纵

30PHP安全编程：文件包含的代码注入攻击

31PHP安全编程：更优的会话数据安全

32PHP安全编程：共享主机的源码安全

33PHP安全编程：会话数据注入

34PHP安全编程：主机文件目录浏览

35PHP安全编程：PHP的安全模式

36php安全之直接用$获取值而不$_GET 字符转义

37php防止漏洞策略，创建高性能web

38什么XSS攻击？PHP防止XSS攻击函数

39解析php防止form重复提交的方法

40php安全之狗尾续貂

41PHP防止跨域提交表单

42php防止SQL注入详解及防范

43php防止sql注入代码实例

44php防止sql注入示例分析和几种常见攻击正则表达式

45PHP安全之防止你的源代码或重要配置信息暴露在外

46PHP防止post重复提交数据的简单例子

47php防止伪造的数据从URL提交方法

48PHP防止表单重复提交的几种常用方法汇总

49php防止伪造数据从地址栏URL提交的方法

50php防止站外远程提交表单的方法

51php防止sql注入之过滤分页参数实例

52PHP安全之以Apache模式安装时可能遇到的攻击及解决办法

53PHP安全之文件系统安全及防范措施

54PHP安全之文件系统安全——Null字符问题

55PHP安全之数据库安全——SQL注入及预防措施

56PHP安全之简介和总则

57PHP安全之以CGI 模式安装时可能遇到的攻击及解决办法

58PHP安全之用户提交的数据

59PHP安全之数据库安全——设计、连接和加密

60PHP安全之魔术引号——什么是魔术引号以及如何使用

61PHP安全之隐藏PHP脚本扩展名

62PHP安全之使用 Register Globals

63PHP安全之错误报告

64php防止恶意刷新与刷票的方法

65php防止网站被刷新的方法汇总

66PHP网站常见安全漏洞，及相应防范措施总结

内容总结

以上是互联网集市为您收集整理的整理的一些PHP开发安全问题全部内容，希望文章能够帮你解决整理的一些PHP开发安全问题所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/138141.html

来源：【匿名】

【上一篇】PHPTree——php快速生成无限级分类_php技巧【下一篇】PHP 5 数据对象 (PDO) 抽象层与 Oracle

更多 ►

【整理的一些PHP开发安全问题】教程文章相关的互联网学习教程文章

PHP的一些安全设置【代码】

小伙伴们新年好啊，又有半个月没有更新博客了。更新也比较随性，想起什么就写点什么，方便和大家工作同学习总结。最近和同事说起了PHP安全相关的问题，记录下一些心得体会。由于脚本语言和早期版本设计的诸多原因，php项目存在不少安全隐患。从配置选项来看，可以做如下的优化。1.屏蔽PHP错误输出。在/etc/php.ini(默认配置文件位置)，将如下配置值改为Offdisplay_errors=Off不要将错误堆栈信息直接输出到网页上，防止黑客加以利用...

php 多线程上下文中安全写文件实现代码

复制代码代码如下:<?php /** * @usage: used to offer safe file write operation in multiple threads context, arbitory file type * @author: Rocky Zhang * @time: Nov. 11 2009 * @demo[0]: $handler = mfopen($file, ‘a+‘); * mfwrite($handler, $str); */ function mfopen($file, $mode=‘w+‘) { $tempfile = generateTempfile(‘./tempdir‘, $file); preg_match(‘/b/i‘, $mode) || ($mode .= ‘b‘); // ‘b‘ is r...

PHP与MongoDB简介|安全|M+PHP应用实例【代码】

一、MongoDB简介MongoDB (名称来自"humongous") 是一个可扩展的、高性能、开源、模式自由、面向文档的数据库，集文档数据库、键值对存储和关系型数据库的优点于一身。官方站点：http://www.mongodb.org/，MongoDB特点：?面向文档存储(类JSON数据模式简单而强大) ?动态查询 ?全索引支持,扩展到内部对象和内嵌数组 ?查询记录分析 ?快速,就地更新 ?高效存储二进制大对象 (比如照片和视频) ?复制和故障切换支持 ?Auto-Sharding自动分片...

php常用的安全过滤函数【代码】

目录结构①常用的安全函数有哪些：②这些函数的作用：③函数的用法：④举例说明：⑤参考资料：由于越来越多的项目开始使用框架，所以，很多的程序员也不在关心安全的问题！因为框架已经帮我们几乎完美的处理了！但是，个人认为，我们还是需要了解一下常用的安全处理函数！原因简单：很多小的功能和项目是用不到框架的，我们需要自己解决安全问题！①常用的安全函数有哪些：mysql_real_escape_string()addslashes()②这些函数的作用...

在ThinkPHP中使用常量解决路由常规地址不安全传送数据问题【图】

在ThinkPHP搭建项目的同时，会考虑到后期对静态页面的维护问题，在项目的不断完善的同时，会有大量图片，css文件，以及js文件等一些容易修改、添加、或者删除的资源如果在中后期对各个静态页面，js、css文件逐个修改的话、将是一个繁重的任务、更加不容易修改、这就违背了tp框架的初衷因此，常量的使用极大地改变了这种现状，使得这些操作更加容易执行简单介绍我在开发过程中使用的常量（给静态资源文件文件访问目录设置常量，方便...

ThinkPHP3.2版本安全更新

近日我们收到了一个关于3.2版本的漏洞提醒，官方已经第一时间进行处理和更新。由于3.2版本已经过了官方的维护和安全更新周期，而且大量的开发者也进行了二次开发，因此不再发布新版，官方仅进行安全公告和修复建议。请还在使用3.2版本的用户按照下面的方式进行安全修复（只需要修改一处核心内置公共函数代码）。再次提示：无论是否修改了核心，参考下面的修复方式修复即可，不需要下载任何更新包和补丁包。顺便提醒下，如果你使用...

apache/php/mysql安全配置

Mysql基本安全设置1.设置或修改Mysql root密码：默认安装后空密码，以mysqladmin命令设置密码： mysqladmin -uroot password "password" Mysql命令设置密码： mysql> set password for root@localhost=password(‘password); 更改密码： update mysql.user set password=password(‘password‘) where user=‘root‘;flush privileges;2.删除默认的数据库和用户 drop database test;use mysql;delete from db;delete f...

php168 v6/v7鸡肋Getshell安全问题

刚搜了一下貌似和以前一个漏洞是一个问题。有点鸡肋，需要条件：　　1.网站配置为：文章生成真静态　　2.允许注册会员　　给出v6的测试代码，提交后执行phpinfo()，v7原理一样，只是数据库字段数不一样。　　member/list.php?step=2&Type=delete&aidDB[]=-1)%20union%20select%201,2,3,4,5,6,7,8,9,10,1,2,3,4,15,6,7,8,9,10,1,2,3,4,25,6,7,8,9,10,1,2,3,4,35,6,7,8,9,10,1,2,3,4,45,6,7,8,9,10,1,2,3,4,0x7B247B706870696E666F28...

调用微信安全内容审核图片审核 img_sec_check 遇到提示 "errcode":41005,"errmsg":"media data missing hint 的问题微信小程序imgseccheck 微信小程序检验图片安全违规图识别源码PHP 微信小程序敏感内容接口【代码】

在调用微信安全内容审核的时候，遇到如下的报错，百度也是搜了一大圈，后来才找到解决的方法，下面就谈谈我的跳坑经历，方便其他同学遇到这样的问题可以快速解决。这里我们只谈图片内容审核的，其中的文本内容审核比较容易，我就不说了，主要就是图片这里容易遇到坑。{"errcode":41005,"errmsg":"media data missing hint: [zKfcwnNre-61nAMA]"}POST https://api.weixin.qq.com/wxa/img_sec_check?access_token=ACCESS_TOKEN a...

8个与安全相关的PHP函数【代码】

1. mysql_real_escape_string() 这个函数对于在PHP中防止SQL注入攻击很有帮助，它对特殊的字符，像单引号和双引号，加上了“反斜杠”，确保用户的输入在用它去查询以前已经是安全的了。但你要注意你是在连接着数据库的情况下使用这个函数。但现在mysql_real_escape_string()这个函数基本不用了，所有新的应用开发都应该使用像PDO这样的库对数据库进行操作，也就是说，我们可以使用现成的语句防止SQL注入攻击。 2. a...

php session安全问题分析

因此,我们主要解决的思路是效验session ID的有效性. 以下为引用的内容：复制代码代码如下:<?php if(!isset($_SESSION[‘user_agent‘])){ $_SESSION[‘user_agent‘] =$_SERVER[‘REMOTE_ADDR‘].$_SERVER[‘HTTP_USER_AGENT‘]; } /* 如果用户session ID是伪造 */ elseif ($_SESSION[‘user_agent‘] != $_SERVER[‘REMOTE_ADDR‘] .$_SERVER[‘HTTP_USER_AGENT‘]) { session_regenerate_id(); } ?> 原文：http://www.jb51.net...

PHP在安全方面的另类应用

1.远程文件　　PHP是一门具有丰富特性的语言，它提供了大量函数，使程序员能够方便地实现各种功能，远程文件就是一个很好的例子：　　代码>　　$fp=@Fopen($url,"r") or die ("cannot open $url");　　while($line=@fgets($fp,1024)) {　　$contents.=$line;　　}　　echo $contents; //显示文件内容　　fclose($fp); //关闭文件　　?>　　以上是一段利用Fopen函数打开文件的代码，由于Fopen函数支持远程文件，使得它应用起来相当有...

php接口数据安全解决方案（二）【代码】

前言实例演示token签名并创建token解析token并校验token合法性类库封装管理jwt实例前言JWT是什么 JWT是json web token缩写。它将用户信息加密到token里，服务器不保存任何用户信息。服务器通过使用保存的密钥验证token的正确性，只要正确即通过验证。基于token的身份验证可以替代传统的cookie+session身份验证方法。它定义了一种用于简洁，自包含的用于通信双方之间以 JSON 对象的形式安全传递信息的方法。JWT 可以使用 HMAC 算法...

PHP开发安全问题

php给了开发者极大的灵活性，但是这也为安全问题带来了潜在的隐患，近期需要总结一下以往的问题，在这里借翻译一篇文章同时加上自己开发的一些感触总结一下。简介当开发一个互联网服务的时候，必须时刻牢记安全观念，并在开发的代码中体现。PHP脚本语言对安全问题并不关心，特别是对大多数没有经验的开发者来说。每当你讲任何涉及到钱财事务等交易问题时，需要特别注意安全问题的考虑，例如开发一个论坛或者是一个购物车等。安全...

php安全处理

1、php.ini 修改 open_basedir=‘d:\wwwroot‘ //配置只能访问指定的网站目录2、php.ini 修改 disable_funcitons=system,passthru,exec,shellexec,popen,phpinfo //禁止执行一些函数3、php.ini 修改display_errors =On 为display_errors =Off //禁止显示一些错误4、跨站脚本攻击（XSS）防御方法：写函数或者用htmlentities来进行对html或者javascript标签进行过滤5、sql注入漏洞防御方法：写函数或者addslashes()来过滤SQL关键字即...

PHP - 技术教程分类

PHP 教程 PHP 简介 PHP 安装 PHP 语法 PHP 变量 PHP echo/print PHP EOF(heredoc) PHP 数据类型 PHP 类型比较 PHP 常量 PHP 字符串 PHP 运算符 PHP If...Else PHP Switch PHP 数组 PHP 数组排序 PHP 超级全局变量 PHP While 循环 PHP For 循环 PHP 函数 PHP 魔术常量 PHP 命名空间 PHP 面向对象 PHP 测验 PHP 表单 PHP 表单验证 PHP 表单 - 必需字段 PHP 完整表单实例 PHP $_GET 变量 PHP $_POST 变量 PHP 多维数组 PHP 日期 PHP 包含 PHP 文件 PHP 文件上传 PHP Cookie PHP Session PHP E-mail PHP Error PHP Exception PHP 过滤器 PHP 7 新特性 PHP MySQL 简介 PHP MySQL 连接 PHP MySQL 创建数据库 PHP MySQL 创建数据表 PHP MySQL 插入数据 PHP MySQL 插入多条数据 PHP MySQL 预处理语句 PHP MySQL 读取数据 PHP MySQL Where PHP MySQL Order By PHP MySQL Update PHP MySQL Delete PHP ODBC AJAX 简介 AJAX PHP AJAX 数据库 AJAX 实时搜索 AJAX 投票 PHP Array PHP Calendar PHP cURL PHP Date PHP Directory PHP Error PHP Filesystem PHP Filter PHP FTP PHP HTTP PHP Mail PHP Math PHP Misc PHP MySQLi PHP PDO PHP String PHP Zip PHP Timezones PHP 图像处理 PHP RESTful PHP PCRE PHP 可用的函数 PHP Composer php 全部

PHP - 最热教程

php如何取出数组的前几个元素 PHP变量什么时候释放 PHP如何实现在数据库随机获取几条记录如何解决php base64解码乱码 php主要用于哪些领域 Laravel 批量插入(insert)数据六款国内优秀免费wordpress主题推荐 React如何从后端获取数据并渲染到前端？纯PHP实现定时器任务（Timer），php实现...php该如何安装pdo_mysql扩展

首页 / PHP / 整理的一些PHP开发安全问题

整理的一些PHP开发安全问题

内容导读

内容图文

整理一些PHP开发安全问题

简介

安全保护一般性要点

SQL注入攻击

扩展阅读

内容总结

内容备注

内容手机端

【整理的一些PHP开发安全问题】教程文章相关的互联网学习教程文章

PHP的一些安全设置【代码】

php 多线程上下文中安全写文件实现代码

PHP与MongoDB简介|安全|M+PHP应用实例【代码】

php常用的安全过滤函数【代码】

在ThinkPHP中使用常量解决路由常规地址不安全传送数据问题【图】

ThinkPHP3.2版本安全更新

apache/php/mysql安全配置

php168 v6/v7鸡肋Getshell安全问题

调用微信安全内容审核图片审核 img_sec_check 遇到提示 "errcode":41005,"errmsg":"media data missing hint 的问题微信小程序imgseccheck 微信小程序检验图片安全违规图识别源码PHP 微信小程序敏感内容接口【代码】

8个与安全相关的PHP函数【代码】

php session安全问题分析

PHP在安全方面的另类应用

php接口数据安全解决方案（二）【代码】

PHP开发安全问题

php安全处理

PHP - 相关标签

开发 - 相关标签

PHP - 技术教程分类

PHP - 最新教程

PHP - 最热教程