锐客网

  1. 首页 > 睿知 > it技术 > >

php防止脏数据 php 如何防止接口被刷( 二 )

IT技术分配内存


如果这个配置选项打开之后，会出现很大的安全隐患 。例如有一个process.php的脚本文件 ， 会将接收到的数据插入到数据库，接收用户输入数据的表单可能如下：
input name="username" type ="text" size = "15" maxlength = "64"
这样 ， 当提交数据到process.php之后，php会注册一个$username变量，将这个变量数据提交到process.php，同时对于任何POST或GET请求参数，都会设置这样的变量 。如果不是显示进行初始化那么就会出现下面的问题：
?php
// Define $authorized = true only if user is authenticated
if
(authenticated_user()) {
$authorized = true;
}
?
此处，假设authenticated_user函数就是判断$authorized变量的值，如果开启了register_globals配置，那么任何用户都可以发送一个请求，来设置$authorized变量的值为任意值从而就能绕过这个验证 。所有的这些提交数据都应该通过PHP预定义内置的全局数组来获取 ， 包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一个$_GET/$_POST/$_COOKIE三个数组的联合变量，默认的顺序是$_COOKIE、$_POST、$_GET 。
推荐的安全配置选项
error_reporting设置为Off：不要暴露错误信息给用户，开发的时候可以设置为ON
safe_mode设置为Off
register_globals设置为Off
将以下函数禁用：system、exec、passthru、shell_exec、proc_open、popen
open_basedir设置为 /tmp，这样可以让session信息有存储权限 ， 同时设置单独的网站根目录expose_php设置为Offallow_url_fopen设置为Offallow_url_include设置为Off
SQL注入攻击
对于操作数据库的SQL语句，需要特别注意安全性，因为用户可能输入特定语句使得原有的SQL语句改变了功能 。类似下面的例子：
$sql ="select * from pinfo where product = '$product'";
此时如果用户输入的$product参数为：'39'; DROP pinfo; SELECT 'FOO
那么最终SQL语句就变成了如下的`样子：
select product from pinfo where product = '39';
DROP pinfo;
SELECT 'FOO'
这样就会变成三条SQL语句 ， 会造成pinfo表被删除，这样会造成严重的后果 。这个问题可以简单的使用PHP的内置函数解决：
$sql = 'Select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';
防止SQL注入攻击需要做好两件事：对输入的参数总是进行类型验证对单引号、双引号、反引号等特殊字符总是使用mysql_real_escape_string函数进行转义但是，这里根据开发经验，不要开启php的Magic Quotes，这个特性在php6中已经废除，总是自己在需要的时候进行转义 。
防止基本的XSS攻击
XSS攻击不像其他攻击，这种攻击在客户端进行，最基本的XSS工具就是防止一段javascript脚本在用户待提交的表单页面 ， 将用户提交的数据和cookie偷取过来 。XSS工具比SQL注入更加难以防护 ， 各大公司网站都被XSS攻击过，虽然这种攻击与php语言无关，但可以使用php来筛选用户数据达到保护用户数据的目的 ， 这里主要使用的是对用户的数据进行过滤，一般过滤掉HTML标签，特别是a标签 。下面是一个普通的过滤方法：
function transform_HTML( $string , $length null) { // Helps prevent XSS attacks
// Remove dead space.
$string = trim( $string );
// Prevent potential Unicode codec problems.
$string = utf8_decode( $string );
// HTMLize HTML-specific characters.
$string = htmlentities( $string , ENT_NOQUOTES);
$string = str_replace ( "#" , "#" , $string );
$string = str_replace ( "%" , "%" , $string );
$length = intval ( $length );
if ( $length0) {
$string = substr ( $string , 0, $length );

推荐阅读


上一篇：kafka和redis吞吐量，kafka吞吐量一般多大

下一篇：java输出菱形的代码，java输出菱形的代码有哪些