關於php開發中用戶請求數據的安全問題的一點想法

1. 關閉危險系統函數 。在php.ini中設置，disable_functions:phpinfo,system,exec,shell_exec,passthru,proc_open,proc_close, proc_get_status,checkdnsrr,getmxrr,getservbyname,getservbyport, syslog,popen,show_source,highlight_file,dl,socket_listen,socket_create,socket_bind,socket_accept, socket_connect, stream_socket_server, stream_socket_accept,stream_socket_client,ftp_connect, ftp_login,ftp_pasv,ftp_get,sys_getloadavg,disk_total_space, disk_free_space,posix_ctermid,posix_get_last_error,posix_getcwd, posix_getegid,posix_geteuid,posix_getgid, posix_getgrgid,posix_getgrnam,posix_getgroups,posix_getlogin,posix_getpgid,posix_getpgrp,posix_getpid, posix_getppid,posix_getpwnam,posix_getpwuid, posix_getrlimit, posix_getsid,posix_getuid,posix_isatty, posix_kill,posix_mkfifo,posix_setegid,posix_seteuid,posix_setgid, posix_setpgid,posix_setsid,posix_setuid,posix_strerror,posix_times,posix_ttyname,posix_uname

2.統一入口的用戶數據的安全校驗（csrf、xss、sql注入的校驗）。

3.開源框架通用關鍵入口配置更改（好比：tp5.0在路由混合模式中【既支持pathinfo、又支持路由方式】,通用配置留給居心叵測之徒的門檻低，避免使用通用配置）。

4.安全路由配置（好比：tp5支持強制路由，原理同網絡資源白名單）。

 

5.mysql的操做使用PDO的驅動方式，預處理的方式大大下降被注入的風險。