整理一些PHP開發安全問題

時間 2019-11-20

標籤整理一些 php 開發安全問題欄目 PHP 简体版

原文原文鏈接

整理一些PHP開發安全問題

　　php給了開發人員極大的靈活性，但是這也爲安全問題帶來了潛在的隱患。最近需要總結一下以往的問題，在這裏借翻譯一篇文章同一時候加上本身開發的一些感觸總結一下。

　簡單介紹

　　當開發一個互聯網服務的時候，必須時刻牢記安全觀念，並在開發的代碼中體現。PHP腳本語言對安全問題並不關心，特別是對大多數沒有經驗的開發人員來講。

每當你講不論什麼涉及到錢財事務等交易問題時，需要特別注意安全問題的考慮，好比開發一個論壇或者是一個購物車等。javascript

　安全保護通常性要點

不相信表單

　　對於通常的Javascript前臺驗證，由於沒法得知用戶的行爲。好比關閉了瀏覽器的javascript引擎，這樣經過POST惡意數據到server。

需要在server端進行驗證，對每個php腳本驗證傳遞到的數據，防止XSS攻擊和SQL注入

不相信用戶

　　要若是你的站點接收的每一條數據都是存在惡意代碼的。存在隱藏的威脅，要對每一條數據都進行清理

關閉全局變量

　　在php.ini文件裏進行下面配置：

php

register_globals = Off

　　假設這個配置選項打開以後，會出現很是大的安全隱患。好比有一個process.php的腳本文件。會將接收到的數據插入到數據庫，接收用戶輸入數據的表單可能例如如下：

<input name="username" type="text" size="15" maxlength="64">

　　這樣。當提交數據到process.php以後，php會註冊一個$username變量，將這個變量數據提交到process.php。同一時候對於不論什麼POST或GET請求參數，都會設置這種變量。假設不是顯示進行初始化那麼就會出現如下的問題（參考： http://www.lai18.com/content/434606.html）

<?
php
// Define $authorized = true only if user is authenticated
if (authenticated_user()) {
    $authorized = true;
}
?html
>java

　　此處，若是authenticated_user函數就是推斷$authorized變量的值，若是開啓了register_globals配置，那麼不論什麼用戶都可以發送一個請求。來設置$authorized變量的值爲隨意值從而就能繞過這個驗證。

　　所有的這些提交數據都應該經過PHP提早定義內置的全局數組來獲取，包含$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，當中$_REQUEST是一個$_GET/$_POST/$_COOKIE三個數組的聯合變量。默認的順序是$_COOKIE、$_POST、$_GET。

推薦的安全配置選項

　　error_reporting設置爲Off：不要暴露錯誤信息給用戶，開發的時候可以設置爲ON

　　safe_mode設置爲Off

　　register_globals設置爲Off

　　將下面函數禁用：system、exec、passthru、shell_exec、proc_open、popen

　　open_basedir設置爲 /tmp ，這樣可以讓session信息有存儲權限，同一時候設置單獨的站點根文件夾

　　expose_php設置爲Off

　　allow_url_fopen設置爲Off

　　allow_url_include設置爲Off

web