セキュリティの高い PHP Web サイトを作成するための実践的なポイント

高セキュリティの PHP Web サイトを作成するためのいくつかの実践的なポイント

PHP が現在最も人気のある Web アプリケーション プログラミング言語であることは誰もが知っています。しかし、他のスクリプト言語と同様に、PHP にもいくつかの危険なセキュリティ ホールがあります。したがって、このチュートリアルでは、一般的な PHP セキュリティ問題を回避するのに役立ついくつかの実践的なヒントを見ていきます。

ヒント 1: 適切なエラー レポートを使用する

一般に、多くのプログラマは、開発プロセス中に常にプログラム エラー レポートを作成することを忘れます。エラー報告は、最良のデバッグ ツールであるだけでなく、優れたセキュリティ脆弱性検出ツールでもあり、アプリケーションをオンラインにする前に、発生する可能性のある問題を可能な限り見つけることができます。

もちろん、エラー報告を有効にする方法はたくさんあります。たとえば、php.in 設定ファイルでは、

エラー報告を有効にする

error_reporting(E_ALL);

エラー報告を無効にする

error_reporting(0);

ヒント 2: PHP の弱い属性を使用しない

OFF に設定する必要がある PHP 属性がいくつかあります。通常、これらは PHP4 に存在しますが、PHP5 では使用は推奨されません。特に PHP6 では、これらの属性が削除されました。

グローバル変数の登録

register_globals を ON に設定すると、環境変数、GET、POST、COOKIE またはサーバー変数がグローバル変数として定義されるように設定するのと同じになります。現時点では、フォーム変数「username」を取得するために $_POST['username'] を記述する必要はありません。この変数を取得するには、「$username」だけが必要です。

では、 register_globals を ON に設定するとこんなに便利なメリットがあるのだから、ぜひ使ってみてはいかがでしょうか?これを行うと多くのセキュリティ上の問題が発生し、ローカル変数名と競合する可能性があるためです。

たとえば、次のコードを見てください:

if( !empty( $_POST['username'] ) && $_POST['username'] == ‘test123′ && !empty( $_POST['password'] ) && $_POST['password'] == “pass123″ ){$access = true;}

実行時に register_globals が ON に設定されている場合、ユーザーはクエリ文字列で access=1 を送信するだけで済みます。 PHP スクリプトから何かを実行するために取得します。

.htaccess でグローバル変数を無効にする

php_flag register_globals 0

php.ini でグローバル変数を無効にする

register_globals = Off

magic_quotes_gpc、magic_quotes_runtime、magic_quotes_sybase などのマジック クオートを無効にする

.htaccess ファイルで設定

php_flag magic_quotes_gpc 0php_flag magic_quotes_runtime 0

php.ini で設定

magic_quotes_gpc = Offmagic_quotes_runtime = Offmagic_quotes_sybase = Off

ヒント3: ユーザー入力を検証する

もちろん、ユーザー入力を検証することもできます。まず、ユーザーが入力することが予想されるデータ型を知っておく必要があります。このようにして、ユーザーによる悪意のある攻撃をブラウザ側で防ぐことができます。

ヒント 4: ユーザーによるクロスサイト スクリプティング攻撃を回避する

Web アプリケーションでは、ユーザーは単にフォーム入力を受け入れ、結果をフィードバックします。ユーザー入力を受け入れる場合、HTML 形式の入力を許可すると、JavaScript が予期しない方法で侵入して直接実行される可能性があるため、非常に危険です。このような脆弱性が 1 つでもあると、Cookie データが盗まれ、ユーザーのアカウントが盗まれる可能性があります。

ヒント 5: SQL インジェクション攻撃を防ぐ

PHP は基本的にデータベースを保護するツールを提供していないため、データベースに接続するときに、以下の mysqli_real_escape_string 関数を使用できます。

$username = mysqli_real_escape_string( $GET['username'] );mysql_query( “SELECT * FROM tbl_employee WHERE username = ’”.$username.“‘”);

この短い記事では、開発プロセス中に無視できないいくつかの PHP セキュリティ問題について詳しく説明します。ただし、それを使用するかどうか、および使用方法を決定するのは最終的に開発者次第です。この記事があなたのお役に立てば幸いです。