整理一些PHP开发安全问题

　　php给了开发人员极大的灵活性，可是这也为安全问题带来了潜在的隐患。最近须要总结一下以往的问题，在这里借翻译一篇文章同一时候加上自己开发的一些感触总结一下。

　简单介绍

　　当开发一个互联网服务的时候，必须时刻牢记安全观念，并在开发的代码中体现。PHP脚本语言对安全问题并不关心，特别是对大多数没有经验的开发人员来说。

每当你讲不论什么涉及到钱財事务等交易问题时，须要特别注意安全问题的考虑，比如开发一个论坛或者是一个购物车等。

　安全保护一般性要点

不相信表单

　　对于一般的Javascript前台验证，因为无法得知用户的行为。比如关闭了浏览器的javascript引擎，这样通过POST恶意数据到server。

须要在server端进行验证，对每一个php脚本验证传递到的数据，防止XSS攻击和SQL注入

不相信用户

　　要如果你的站点接收的每一条数据都是存在恶意代码的。存在隐藏的威胁，要对每一条数据都进行清理

关闭全局变量

　　在php.ini文件里进行下面配置：

register_globals = Off

　　假设这个配置选项打开之后，会出现非常大的安全隐患。比如有一个process.php的脚本文件。会将接收到的数据插入到数据库，接收用户输入数据的表单可能例如以下：

<input name="username" type="text" size="15" maxlength="64">

　　这样。当提交数据到process.php之后，php会注冊一个$username变量，将这个变量数据提交到process.php。同一时候对于不论什么POST或GET请求參数，都会设置这种变量。假设不是显示进行初始化那么就会出现以下的问题（參考：http://www.lai18.com/content/434606.html）

<?

php

// Define $authorized = true only if user is authenticated

if (authenticated_user()) {

    $authorized = true;

}

?

>

　　此处，如果authenticated_user函数就是推断$authorized变量的值，如果开启了register_globals配置，那么不论什么用户都能够发送一个请求。来设置$authorized变量的值为随意值从而就能绕过这个验证。

　　全部的这些提交数据都应该通过PHP提前定义内置的全局数组来获取，包含$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，当中$_REQUEST是一个$_GET/$_POST/$_COOKIE三个数组的联合变量。默认的顺序是$_COOKIE、$_POST、$_GET。

推荐的安全配置选项

　　error_reporting设置为Off：不要暴露错误信息给用户，开发的时候能够设置为ON

　　safe_mode设置为Off

　　register_globals设置为Off

　　将下面函数禁用：system、exec、passthru、shell_exec、proc_open、popen

　　open_basedir设置为 /tmp ，这样能够让session信息有存储权限，同一时候设置单独的站点根文件夹

　　expose_php设置为Off

　　allow_url_fopen设置为Off

　　allow_url_include设置为Off

　SQL注入攻击

　　对于操作数据库的SQL语句。须要特别注意安全性，由于用户可能输入特定语句使得原有的SQL语句改变了功能。类似以下的样例：

　扩展阅读

《PHP安全编程系列》系列技术文章整理收藏

PHP安全编程系列收藏夹收藏了有关PHP安全编程方面的知识，对PHP安全编程提供学习參考

1discuz的php防止sql注入函数

2php防止xss攻击的方法

3PHP安全编程：对输出要进行转义

4PHP安全编程：过滤用户输入

5PHP安全编程：可用性与数据跟踪

6PHP安全编程：不要让不相关的人看到报错信息

7PHP安全编程：register_globals的安全性

8PHP安全编程：站点安全设计的一些原则

9PHP安全编程：关于表单欺骗提交

10PHP安全编程：HTTP请求欺骗

11PHP安全编程：不要暴露数据库訪问权限

12PHP安全编程：跨站请求伪造CSRF的防御

13PHP安全编程：表单与数据安全

14PHP安全编程：从URL的语义进行攻击

15PHP安全编程：文件上传攻击的防御

16PHP安全编程：跨站脚本攻击的防御

17PHP安全编程：session固定获取合法会话

18PHP安全编程：防止SQL注入

19PHP安全编程：cookie暴露导致session被劫持

20PHP安全编程：防止源码的暴露

21PHP安全编程：留心后门URL

22PHP安全编程：session劫持的防御

23PHP安全编程：暴力破解攻击

24PHP安全编程：password嗅探与重播攻击

25PHP安全编程：记住登录状态的安全做法

26PHP安全编程：shell命令注入

27PHP安全编程：打开远程文件的风险

28PHP安全编程：文件文件夹推測漏洞

29PHP安全编程：阻止文件名称被操纵

30PHP安全编程：文件包括的代码注入攻击

31PHP安全编程：更优的会话数据安全

32PHP安全编程：共享主机的源代码安全

33PHP安全编程：会话数据注入

34PHP安全编程：主机文件文件夹浏览

35PHP安全编程：PHP的安全模式

36php安全之直接用$获取值而不$_GET 字符转义

37php防止漏洞策略，创建高性能web

38什么XSS攻击？PHP防止XSS攻击函数

39解析php防止form反复提交的方法

40php安全之狗尾续貂

41PHP防止跨域提交表单

42php防止SQL注入具体解释及防范

43php防止sql注入代码实例

44php防止sql注入演示样例分析和几种常见攻击正則表達式

45PHP安全之防止你的源码或重要配置信息暴露在外

46PHP防止post反复提交数据的简单样例

47php防止伪造的数据从URL提交方法

48PHP防止表单反复提交的几种经常用法汇总

49php防止伪造数据从地址栏URL提交的方法

50php防止站外远程提交表单的方法

51php防止sql注入之过滤分页參数实例

52PHP安全之以Apache模式安装时可能遇到的攻击及解决的方法

53PHP安全之文件系统安全及防范措施

54PHP安全之文件系统安全——Null字符问题

55PHP安全之数据库安全——SQL注入及预防措施

56PHP安全之简单介绍和总则

57PHP安全之以CGI 模式安装时可能遇到的攻击及解决的方法

58PHP安全之用户提交的数据

59PHP安全之数据库安全——设计、连接和加密

60PHP安全之魔术引號——什么是魔术引號以及怎样使用

61PHP安全之隐藏PHP脚本扩展名

62PHP安全之使用 Register Globals

63PHP安全之错误报告

64php防止恶意刷新与刷票的方法

65php防止站点被刷新的方法汇总

66PHP站点常见安全漏洞。及对应防范措施总结