第針對PHP開發(fā)安全問題的相關總結對于互聯(lián)網(wǎng)應用的開發(fā)，作為開發(fā)者必須時刻牢記安全觀念，并在開發(fā)的代碼中體現(xiàn)。PHP腳本語言對安全問題并不太關心，特別是對大多數(shù)沒有經驗的開發(fā)者來說。每當你做任何涉及到錢財事務等交易問題時，都要特別注意安全問題的考慮。

安全保護一般性要點

1、不相信表單

對于一般的Javascript前臺驗證，由于無法得知用戶的行為，例如關閉了瀏覽器的javascript引擎，這樣通過POST惡意數(shù)據(jù)到服務器。需要在服務器端進行驗證，對每個php腳本驗證傳遞到的數(shù)據(jù)，防止XSS攻擊和SQL注入

2、不相信用戶

要假設你的網(wǎng)站接收的每一條數(shù)據(jù)都是存在惡意代碼的，存在隱藏的威脅，要對每一條數(shù)據(jù)都進行清理

3、關閉全局變量

在php.ini文件中進行以下配置：register_globals=Off

如果這個配置選項打開之后，會出現(xiàn)很大的安全隱患。例如有一個process.php的腳本文件，會將接收到的數(shù)據(jù)插入到數(shù)據(jù)庫，接收用戶輸入數(shù)據(jù)的表單可能如下：

inputname="username"type="text"size="15"maxlength="64"

這樣，當提交數(shù)據(jù)到process.php之后，php會注冊一個$username變量，將這個變量數(shù)據(jù)提交到process.php，同時對于任何POST或GET請求參數(shù)，都會設置這樣的變量。如果不是顯示進行初始化那么就會出現(xiàn)下面的問題：

//Define$authorized=trueonlyifuserisauthenticated

if(authenticated_user()){

$authorized=true;

此處，假設authenticated_user函數(shù)就是判斷$authorized變量的值，如果開啟了register_globals配置，那么任何用戶都可以發(fā)送一個請求，來設置$authorized變量的值為任意值從而就能繞過這個驗證。

所有的這些提交數(shù)據(jù)都應該通過PHP預定義內置的全局數(shù)組來獲取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一個$_GET/$_POST/$_COOKIE三個數(shù)組的聯(lián)合變量，默認的順序是$_COOKIE、$_POST、$_GET。

推薦的安全配置選項

error_reporting設置為Off：不要暴露錯誤信息給用戶，開發(fā)的時候可以設置為ON

safe_mode設置為Off

register_globals設置為Off

將以下函數(shù)禁用：system、exec、passthru、shell_exec、proc_open、popen

open_basedir設置為/tmp，這樣可以讓session信息有存儲權限，同時設置單獨的網(wǎng)站根目錄

expose_php設置為Off

allow_url_fopen設置為Off

allow_url_include設置為Off

SQL注入攻擊

對于操作數(shù)據(jù)庫的SQL語句，需要特別注意安全性，因為用戶可能輸入特定語句使得原有的SQL語句改變了功能。類似下面的例子：

$sql="select*frompinfowhereproduct='$product'";

此時如果用戶輸入的$product參數(shù)為：

39';DROPpinfo;SELECT'FOO

那么最終SQL語句就變成了如下的樣子：

selectproductfrompinfowhereproduct='39';DROPpinfo;SELECT'FOO'

這樣就會變成三條SQL語句，會造成pinfo表被刪除，這樣會造成嚴重的后果。

這個問題可以簡單的使用PHP的內置函數(shù)解決：

$sql="Select*frompinfowhereproduct='".mysql_real_escape_string($product)."'";

防止SQL注入攻擊需要做好兩件事：

對輸入的參數(shù)總是進行類型驗證

對單引號、雙引號、反引號等特殊字符總是使用mysql_real_escape_string函數(shù)進行轉義

但是，這里根據(jù)開發(fā)經驗，不要開啟php的MagicQuotes，這個特性在php6中已經廢除，總是自己在需要的時候進行轉義。

防止基本的XSS攻擊

XSS攻擊不像其他攻擊，這種攻擊在客戶端進行，最基本的XSS工具就是防止一段javascript腳本在用戶待提交的表單頁面，將用戶提交的數(shù)據(jù)和cookie偷取過來。

XSS工具比SQL注入更加難以防護，各大公司網(wǎng)站都被XSS攻擊過，雖然這種攻擊與php語言無關，但可以使用php來篩選用戶數(shù)據(jù)達到保護用戶數(shù)據(jù)的目的，這里主要使用的是對用戶的數(shù)據(jù)進行過濾，一般過濾掉HTML標簽，特別是a標簽。下面是一個普通的過濾方法：

functiontransform_HTML($string,$length=null){

//HelpspreventXSSattacks

//Removedeadspace.

$string=trim($string);

//PreventpotentialUnicodecodecproblems.

$string=utf8_decode($string);

//HTMLizeHTML-specificcharacters.

$string=htmlentities($string,ENT_NOQUOTES);

$string=str_replace("#","#",$string);

$string=str_replace("%","%",$string);

$length=intval($length);

if($length0){

$string=substr($string,0,$length);

return$string;

}

這個函數(shù)將HTML的特殊字符轉換為了HTML實體，瀏覽器在渲染這段文本的時候以純文本形式顯示。如strongbold/strong會被顯示為：

STRONGBoldText/STRONG

上述函數(shù)的核心就是htmlentities函數(shù)，這個函數(shù)將html特殊標簽轉換為html實體字符，這樣可以過濾大部分的XSS攻擊。

但是對于有經驗的XSS攻擊者，有更加巧妙的辦法進行攻擊：將他們的惡意代碼使用十六進制或者utf-8編碼，而不是普通的ASCII文本，例如可以使用下面的方式進行：

ahref="/a.phpvariable=%22%3e%3c%53%43%52%49%50%54%3e%44%6f%73%6f%6d%65%74%68%69%6e%67%6d%61%6c%69%63%69%6f%75%73%3c%2f%53%43%52%49%50%54%3e"rel="externalnofollow"

這樣瀏覽器渲染的結果其實是：

ahref="/a.phpvariable="rel="externalnofollow"SCRIPTDosomethingmalicious/SCRIPT

這樣就達到了攻擊的目的。為了防止這種情況，需要在transform_HTML函數(shù)的基礎上再將#和%轉換為他們對應的實體符號，同時加上了$length參數(shù)來限制提交的數(shù)據(jù)的最大長度。

使用SafeHTML防止XSS攻擊

上述關于XSS攻擊的防護非常簡單，但是不包含用戶的所有標記，同時有上百種繞過過濾函數(shù)提交javascript代碼的方法，也沒有辦法能完全阻止這個情況。

目前，沒有一個單一的腳本能保證不被攻擊突破，但是總有相對來說防護程度更好的。一共有兩個安全防護的方式：白名單和黑名單。其中白名單更加簡單和有效。

一種白名單解決方案就是SafeHTML，它足夠智能能夠識別有效的HTML，然后就可以去除任何危險的標簽。這個需要基于HTMLSax包