搜索

[23264] 2014-11-09_8个增强PHP程序安全的函数

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2014-11-09_8个增强PHP程序安全的函数 8 个 增 强   P H P   程 序 安 全 的 函 数 L i n u x 中 国   2 0 1 4 - 1 1 - 0 9 安 全 是 编 程 非 常 重 要 的 一 个 方 面 。 在 任 何 一 种 编 程 语 言 中 ， 都 提 供 了 许 多 的 函 数 或 者 模 块 来 确 保 程 序 的 安 全 性 。 在 现 代 网 站 应 用 中 ， 经 常 要 获 取 来 自 世 界 各 地 用 户 的 输 入 ， 但 是 ， 我 们 都 知 道 “ 永 远 不 能 相 信 那 些 用 户 输 入 的 数 据 ” 。 所 以 在 各 种 的 W e b 开 发 语 言 中 ， 都 会 提 供 保 证 用 户 输 入 数 据 安 全 的 函 数 。 今 天 ， 我 们 就 来 看 看 ， 在 著 名 的 开 源 语 言 P H P 中 有 哪 些 有 用 的 安 全 函 数 。 在 P H P 中 ， 有 些 很 有 用 的 函 数 开 源 非 常 方 便 的 防 止 你 的 网 站 遭 受 各 种 攻 击 ， 例 如 S Q L 注 入 攻 击 ， X S S （ C r o s s   S i t e   S c r i p t i n g ： 跨 站 脚 本 ） 攻 击 等 。 一 起 看 看 P H P 中 常 用 的 、 可 以 确 保 项 目 安 全 的 函 数 。 注 意 ， 这 并 不 是 完 整 的 列 表 ， 是 我 觉 得 对 于 你 的 i 项 目 很 有 的 一 些 函 数 。 1 .   m y s q l _ r e a l _ e s c a p e _ s t r i n g ( ) 这 个 函 数 在 P H P 中 防 止 S Q L 注 入 攻 击 时 非 常 有 用 。 这 个 函 数 会 对 一 些 例 如 单 引 号 、 双 引 号 、 反 斜 杠 等 特 殊 字 符 添 加 一 个 反 斜 杠 以 确 保 在 查 询 这 些 数 据 之 前 ， 用 户 提 供 的 输 入 是 干 净 的 。 但 要 注 意 ， 你 是 在 连 接 数 据 库 的 前 提 下 使 用 这 个 函 数 。 但 是 现 在 已 经 不 推 荐 使 用 m y s q l _ r e a l _ e s c a p e _ s t r i n g ( ) 了 ， 所 有 新 的 应 用 应 该 使 用 像 P D O 一 样 的 函 数 库 执 行 数 据 库 操 作 ， 也 就 是 说 ， 我 们 可 以 使 用 现 成 的 语 句 防 止 S Q L 注 入 攻 击 。 2 .   a d d s l a s h e s ( ) 这 个 函 数 的 原 理 跟 m y s q l _ r e a l _ e s c a p e _ s t r i n g ( ) 相 似 。 但 是 当 在 p h p . i n i 文 件 中 ， “ m a g i c _ q u o t e s _ g p c “ 的 值 是 “ o n ” 的 时 候 ， 就 不 要 使 用 这 个 函 数 。 m a g i c _ q u o t e s _ g p c   的 默 认 值 是 o n ， 对 所 有 的   G E T 、 P O S T   和   C O O K I E   数 据 自 动 运 行   a d d s l a s h e s ( ) 。 不 要 对 已 经 被   m a g i c _ q u o t e s _ g p c   转 义 过 的 字 符 串 使 用   a d d s l a s h e s ( ) ， 因 为 这 样 会 导 致 双 层 转 义 。 你 可 以 使 用 g e t _ m a g i c _ q u o t e s _ g p c ( ) 函 数 来 确 定 它 是 否 开 启 。 3 .   h t m l e n t i t i e s ( ) 这 个 函 数 对 于 过 滤 用 户 输 入 的 数 据 非 常 有 用 。 它 会 将 一 些 特 殊 字 符 转 换 为 H T M L 实 体 。 例 如 ， 用 户 输 入 < 时 ， 就 会 被 该 函 数 转 化 为 H T M L 实 体 < （ & l t ） ， 输 入 > 就 被 转 为 实 体 & g t . ( H T M L 实 体 对 照 表 ： h t t p : / / w w w . w 3 s c h o o l . c o m . c n / h t m l / h t m l _ e n t i t i e s . a s p ) ， 可 以 防 止 X S S 和 S Q L 注 入 攻 击 。 4 .   h t m l s p e c i a l c h a r s ( ) 在 H T M L 中 ， 一 些 特 定 字 符 有 特 殊 的 含 义 ， 如 果 要 保 持 字 符 原 来 的 含 义 ， 就 应 该 转 换 为 H T M L 实 体 。 这 个 函 数 会 返 回 转 换 后 的 字 符 串 ， 例 如 ‘ & ’   ( a m p e r s a n d )   转 为 ’ & a m p ‘ （ p s : 请 参 照 第 三 点 中 的 实 体 对 照 表 链 接 ） p s : 此 处 原 文 有 误 （ 见 评 论 ） ， 在 此 非 常 感 谢 瑾 瑜 提 出 。 现 已 更 正 ， 另 外 附 上 此 函 数 常 见 的 转 换 字 符 ：
T h e   t r a n s l a t i o n s   p e r f o r m e d   a r e : ‘ & ’   ( a m p e r s a n d )   b e c o m e s   ‘ & a m p ; ’ ‘ ” ‘   ( d o u b l e   q u o t e )   b e c o m e s   ‘ & q u o t ; ’   w h e n   E N T _ N O Q U O T E S   i s   n o t   s e t . “ ‘ ”   ( s i n g l e   q u o t e )   b e c o m e s   ‘ & # 0 3 9 ; ’   ( o r   & a p o s ; )   o n l y   w h e n   E N T _ Q U O T E S   i s   s e t . ‘ < ’   ( l e s s   t h a n )   b e c o m e s   ‘ & l t ; ’ ‘ > ’   ( g r e a t e r   t h a n )   b e c o m e s   ‘ & g t ; ’ 5 .   s t r i p _ t a g s ( ) 这 个 函 数 可 以 去 除 字 符 串 中 所 有 的 H T M L ， J a v a S c r i p t 和 P H P 标 签 ， 当 然 你 也 可 以 通 过 设 置 该 函 数 的 第 二 个 参 数 ， 让 一 些 特 定 的 标 签 出 现 。 6 .   m d 5 ( ) 从 安 全 的 角 度 来 说 ， 一 些 开 发 者 在 数 据 库 中 存 储 简 单 的 密 码 的 行 为 并 不 值 得 推 荐 。 m d 5 ( ) 函 数 可 以 产 生 给 定 字 符 串 的 3 2 个 字 符 的 m d 5 散 列 ， 而 且 这 个 过 程 不 可 逆 ， 即 你 不 能 从 m d 5 ( ) 的 结 果 得 到 原 始 字 符 串 。 现 在 这 个 函 数 并 不 被 认 为 是 安 全 的 ， 因 为 开 源 的 数 据 库 可 以 反 向 检 查 一 个 散 列 值 的 明 文 。 你 可 以 在 这 里 找 到 一 个 M D 5 散 列 数 据 库 列 表 7 .   s h a 1 ( ) 这 个 函 数 与 m d 5 ( ) 类 似 ， 但 是 它 使 用 了 不 同 的 算 法 来 产 生 4 0 个 字 符 的 S H A - 1 散 列 （ m d 5 产 生 的 是 3 2 个 字 符 的 散 列 ） 。 也 不 要 把 绝 对 安 全 寄 托 在 这 个 函 数 上 ， 否 则 会 有 意 想 不 到 的 结 果 。 8 .   i n t v a l ( ) 先 别 笑 ， 我 知 道 这 个 函 数 和 安 全 没 什 么 关 系 。 i n t v a l ( ) 函 数 是 将 变 量 转 成 整 数 类 型 ， 你 可 以 用 这 个 函 数 让 你 的 P H P 代 码 更 安 全 ， 特 别 是 当 你 在 解 析 i d ， 年 龄 这 样 的 数 据 时 。 原 文 ：   h t t p : / / w w w . p i x e l s t e c h . n e t / a r t i c l e / 1 3 0 0 7 2 2 9 9 7 - U s e f u l - f u n c t i o n s - t o - p r o v i d e - s e c u r e - P H P - a p p l i c a t i o n   作 者 ：   P i   K e 译 文 ：   h t t p : / / w w w . i d o 3 2 1 . c o m / 1 2 0 2 . h t m l   译 者 ：   d w q s 转 载 本 文 请 遵 循 原 文 要 求 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理