PHP開發安全保護的要點

當開發一個互聯網服務的時候，必須時刻牢記安全觀念，並在開發的代碼中體現。下面整理了一些PHP開發安全保護的要點，希望對大家有所幫助!

　　不相信表單

對於一般的Javascript前台驗證，由於無法得知用户的行為，例如關閉了瀏覽器的javascript引擎，這樣通過POST惡意數據到服務器。需要在服務器端進行驗證，對每個php腳本驗證傳遞到的數據，防止XSS攻擊和SQL注入

　　不相信用户

要假設你的網站接收的每一條數據都是存在惡意代碼的，存在隱藏的威脅，要對每一條數據都進行清理

　　關閉全局變量

在文件中進行以下配置：

register_globals = Off

如果這個配置選項打開之後，會出現很大的安全隱患。例如有一個的腳本文件，會將接收到的數據插入到數據庫，接收用户輸入數據的表單可能如下：

這樣，當提交數據到之後，php會註冊一個$username變量，將這個變量數據提交到，同時對於任何POST或GET請求參數，都會設置這樣的變量。如果不是顯示進行初始化那麼就會出現下面的問題：

此處，假設authenticated_user函數就是判斷$authorized變量的值，如果開啟了register_globals配置，那麼任何用户都可以發送一個請求，來設置$authorized變量的值為任意值從而就能繞過這個驗證。

所有的這些提交數據都應該通過PHP預定義內置的全局數組來獲取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一個$_GET/$_POST/$_COOKIE三個數組的聯合變量，默認的順序是$_COOKIE、$_POST、$_GET。

　　推薦的安全配置選項

error_reporting設置為Off：不要暴露錯誤信息給用户，開發的時候可以設置為ON

safe_mode設置為Off

register_globals設置為Off

將以下函數禁用：system、exec、passthru、shell_exec、proc_open、popen

open_basedir設置為 /tmp ，這樣可以讓session信息有存儲權限，同時設置單獨的網站根目錄

expose_php設置為Off

allow_url_fopen設置為Off

allow_url_include設置為Off

　　SQL注入攻擊

對於操作數據庫的SQL語句，需要特別注意安全性，因為用户可能輸入特定語句使得原有的語句改變了功能。類似下面的例子：

$sql = "select * from pinfo where product = '$product'";

此時如果用户輸入的$product參數為：

39'; DROP pinfo; SELECT 'FOO

那麼最終SQL語句就變成了如下的樣子：

select product from pinfo where product = '39'; DROP pinfo; SELECT 'FOO'

這樣就會變成三條SQL語句，會造成pinfo表被刪除，這樣會造成嚴重的後果。

這個問題可以簡單的使用PHP的內置函數解決：

$sql = 'Select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';

防止SQL注入攻擊需要做好兩件事：

對輸入的參數總是進行類型驗證

對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數進行轉義

但是，這裏根據開發經驗，不要開啟php的 Magic Quotes，這個特性在php6中已經廢除，總是自己在需要的時候進行轉義。

　　防止基本的XSS攻擊

XSS攻擊不像其他攻擊，這種攻擊在客户端進行，最基本的XSS工具就是防止一段javascript腳本在用户待提交的表單頁面，將用户提交的數據和cookie偷取過來。

XSS工具比SQL注入更加難以防護，各大公司網站都被XSS攻擊過，雖然這種攻擊與php語言無關，但可以使用php來篩選用户數據達到保護用户數據的目的，這裏主要使用的是對用户的數據進行過濾，一般過濾掉HTML標籤，特別是a標籤。下面是一個普通的過濾方法：

function transform_HTML($string, $length = null) {// Helps prevent XSS attacks // Remove dead space. $string = trim($string); // Prevent potential Unicode codec problems. $string = utf8_decode($string); // HTMLize HTML-specific characters. $string = htmlentities($string, ENT_NOQUOTES); $string = str_replace("#", "#", $string); $string = str_replace("%", "%", $string); $length = intval($length); if ($length > 0) { $string = substr($string, 0, $length); } return $string;}

這個函數將HTML的特殊字符轉換為了HTML實體，瀏覽器在渲染這段文本的時候以純文本形式顯示。如bold會被顯示為：

BoldText

上述函數的核心就是htmlentities函數，這個函數將html特殊標籤轉換為html實體字符，這樣可以過濾大部分的XSS攻擊。