PHPセキュリティ保護の要点分析_PHPチュートリアル

Web アプリケーションのセキュリティについて最初に認識しなければならないことは、外部データを信頼すべきではないということです。外部データには、プログラマによって PHP コードに直接入力されないデータが含まれます。他のソースからのデータ (GET 変数、フォーム POST、データベース、構成ファイル、セッション変数、Cookie など) は、セキュリティを確保するための手順が講じられるまで信頼できません。

たとえば、次のデータ要素は PHP で設定されているため安全であると考えられます。

PHP セキュリティ保護チェックリスト 1. 安全で完璧なコード

<ol class="dp-xml"><li class="alt"><span><span class="tag"><</span><span> ?php  </span></span></li><li><span>$</span><span class="attribute">myUsername</span><span> = &lsquo;tmyer&rsquo;;  </span></li><li class="alt"><span>$</span><span class="attribute-value">array</span><span class="attribute">arrayUsers</span><span> = array<br />(&rsquo;tmyer&rsquo;, &lsquo;tom&rsquo;, &lsquo;tommy&rsquo;);  </span></li><li><span>define(&rdquo;GREETING&rdquo;, &lsquo;hello<br /> there&rsquo; . $myUsername);  </span></li><li class="alt"><span class="tag">?></span><span> </span></span></li></ol>

ただし、以下のデータ要素にはすべて欠陥があります。

PHP セキュリティ保護チェックリスト 2. 安全でないコードと欠陥のあるコード

<ol class="dp-xml"><li class="alt"><span><span class="tag"><</span><span> ?php  </span></span></li><li><span>$</span><span class="attribute">myUsername</span><span> = $_POST[&rsquo;username&rsquo;]; <br />//tainted!  </span></li><li class="alt"><span>$</span><span class="attribute-value">array</span><span class="attribute">arrayUsers</span><span> = array($my<br />Username, &lsquo;tom&rsquo;, &lsquo;tommy&rsquo;); <br />//tainted!  </span></li><li><span>define(&rdquo;GREETING&rdquo;, &lsquo;hello there&rsquo; <br />. $myUsername); //tainted!  </span></li><li class="alt"><span class="tag">?></span><span> </span></span></li></ol>

最初の変数 $myUsername に欠陥があるのはなぜですか?これはフォーム POST から直接取得されるためです。ユーザーはこの入力フィールドに任意の文字列を入力できます。これには、ファイルを駆除したり、以前にアップロードしたファイルを実行したりする悪意のあるコマンドも含まれます。

「A ～ Z の文字のみを受け入れるクライアント側 (Javascript) フォーム検証スクリプトを使用することで、この危険を回避できないのですか?」と疑問に思われるかもしれません。はい、これは常に有益なステップですが、後で説明するように、あらゆるフォームを自分のマシンにダウンロードし、変更して、必要なものを再送信できます。

解決策は簡単です。サニタイズコードは $_POST[’username’] で実行する必要があります。これを行わないと、(配列や定数などで) $myUsername を使用するたびに、これらのオブジェクトが汚染される危険があります。

ユーザー入力をサニタイズする簡単な方法は、正規表現を使用して処理することです。この例では、文字のみが受け入れられることが想定されています。文字列を特定の文字数に制限したり、すべての文字を小文字にすることを要求したりすることも良いアイデアかもしれません。

PHP セキュリティ保護チェックリスト 3. ユーザー入力を安全にする

<ol class="dp-xml"><li class="alt"><span><span class="tag"><</span><span> ?php  </span></span></li><li><span>$</span><span class="attribute">myUsername</span><span> = </span><span class="attribute-value">cleanInput</span><span>($_<br />POST[&rsquo;username&rsquo;]); //clean!  </span></li><li class="alt"><span>$</span><span class="attribute-value">array</span><span class="attribute">arrayUsers</span><span> = array(<br />$myUsername, &lsquo;tom&rsquo;, &lsquo;tommy&rsquo;); //clean!  </span></li><li><span>define(&rdquo;GREETING&rdquo;, &lsquo;hello <br />there&rsquo; . $myUsername); //clean!  </span></li><li class="alt"><span>function cleanInput($input){  </span></li><li><span>$</span><span class="attribute">clean</span><span> = </span><span class="attribute-value">strtolower</span><span>($input);  </span></li><li class="alt"><span>$</span><span class="attribute">clean</span><span> = </span><span class="attribute-value">preg_replace</span><span>(&rdquo;/[^a-z]<br />/&rdquo;, &ldquo;&rdquo;, $clean);  </span></li><li><span>$</span><span class="attribute">clean</span><span> = </span><span class="attribute-value">substr</span><span>($clean,0,12);  </span></li><li class="alt"><span>return $clean;  </span></li><li><span>}  </span></li><li class="alt"><span class="tag">?></span><span> </span></span></li></ol>

上記は、PHP セキュリティ保護に関連するテクニックの説明です。

http://www.bkjia.com/PHPjc/445922.htmlwww.bkjia.comtru​​ehttp://www.bkjia.com/PHPjc/445922.html技術記事 Web アプリケーションのセキュリティについて最初に認識しなければならないのは、外部データは信頼すべきではないということです。外部データには、プログラマによって PHP コードに直接入力されていないデータが含まれます...