検索
ホームページバックエンド開発PHPチュートリアルセキュリティの高い PHP Web サイトを作成するためのいくつかの実践的なポイント

PHP が現在最も人気のある Web アプリケーション プログラミング言語であることは誰もが知っています。しかし、他のスクリプト言語と同様に、PHP にもいくつかの危険なセキュリティ ホールがあります。したがって、このチュートリアルでは、一般的な PHP セキュリティ問題を回避するのに役立ついくつかの実践的なヒントを見ていきます。

ヒント 1: 適切なエラー報告を使用する

通常、開発プロセス中、多くのプログラマーは常にプログラム エラー レポートを作成することを忘れます。適切なエラー レポートは最良のデバッグ ツールであるだけでなく、問題を特定するための優れたセキュリティ脆弱性検出ツールでもあるためです。アプリケーションをオンラインにする前に、できる限り多くのことに遭遇するでしょう。

もちろん、エラー報告を有効にする方法はたくさんあります。たとえば、php.in 構成ファイルで、実行時に有効になるように設定できます

エラーレポートを開始

リーリー

エラー報告を無効にする

リーリー

ヒント 2: PHP の Weak 属性を使用しないでください

OFF に設定する必要がある PHP プロパティがいくつかあります。通常、これらは PHP4 に存在しますが、PHP5 では使用は推奨されません。特に PHP6 では、これらの属性が削除されました。

グローバル変数を登録する

register_globals が ON に設定されている場合、Environment、GET、POST、COOKIE または Server 変数がグローバル変数として定義されている設定と同等です。現時点では、フォーム変数「username」を取得するために $_POST['username'] を記述する必要はありません。この変数を取得するには、「$username」だけが必要です。

ということは、 register_globals を ON に設定するとこんなに便利なメリットがあるのだから、使わない手はないのではないかと考えているのではないでしょうか?これを行うと多くのセキュリティ上の問題が発生し、ローカル変数名と競合する可能性があるためです。

たとえば、次のコードを見てください:

リーリー

実行時に register_globals が ON に設定されている場合、ユーザーはクエリ文字列で access=1 を渡すだけで、PHP スクリプトが実行するものを取得できます。

.htaccessのグローバル変数を無効にする

リーリー

php.iniのグローバル変数を無効にする

リーリー

magic_quotes_gpc、magic_quotes_runtime、magic_quotes_sybase などの Magic Quotes を無効にする

.htaccessファイルに設定します

リーリー

php.iniで設定します

リーリー

ヒント 3: ユーザー入力を検証する

もちろん、ユーザー入力を検証することもできます。まず、ユーザーが入力すると予想されるデータ型を知る必要があります。このようにして、ユーザーによる悪意のある攻撃をブラウザ側で防ぐことができます。

ヒント 4: ユーザーによるクロスサイト スクリプティング攻撃を回避する

Web アプリケーションでは、フォームへのユーザー入力を単純に受け入れ、結果をフィードバックします。ユーザー入力を受け入れる場合、HTML 形式の入力を許可すると、JavaScript が予期しない方法で侵入して直接実行される可能性があるため、非常に危険です。このような脆弱性が 1 つでもあると、Cookie データが盗まれ、ユーザーのアカウントが盗まれる可能性があります。

ヒント 5: SQL インジェクション攻撃を防ぐ

PHPは基本的にデータベースを保護するツールを提供していないため、データベースに接続する際には、次のmysqli_real_escape_string関数を使用できます。

リーリー

さて、この短い記事では、開発プロセス中に無視できないいくつかの PHP セキュリティ問題について詳しく説明します。ただし、それを使用するかどうか、および使用方法を決定するのは最終的に開発者次第です。この記事があなたのお役に立てば幸いです。

上記では、セキュリティの高い PHP Web サイトを作成するためのいくつかの実践的なポイントを、関連するコンテンツも含めて紹介しています。PHP チュートリアルに興味のある友人に役立つことを願っています。

声明
この記事の内容はネチズンが自主的に寄稿したものであり、著作権は原著者に帰属します。このサイトは、それに相当する法的責任を負いません。盗作または侵害の疑いのあるコンテンツを見つけた場合は、admin@php.cn までご連絡ください。
php怎么把负数转为正整数php怎么把负数转为正整数Apr 19, 2022 pm 08:59 PM

php把负数转为正整数的方法:1、使用abs()函数将负数转为正数,使用intval()函数对正数取整,转为正整数,语法“intval(abs($number))”;2、利用“~”位运算符将负数取反加一,语法“~$number + 1”。

php怎么实现几秒后执行一个函数php怎么实现几秒后执行一个函数Apr 24, 2022 pm 01:12 PM

实现方法:1、使用“sleep(延迟秒数)”语句,可延迟执行函数若干秒;2、使用“time_nanosleep(延迟秒数,延迟纳秒数)”语句,可延迟执行函数若干秒和纳秒;3、使用“time_sleep_until(time()+7)”语句。

php怎么除以100保留两位小数php怎么除以100保留两位小数Apr 22, 2022 pm 06:23 PM

php除以100保留两位小数的方法:1、利用“/”运算符进行除法运算,语法“数值 / 100”;2、使用“number_format(除法结果, 2)”或“sprintf("%.2f",除法结果)”语句进行四舍五入的处理值,并保留两位小数。

php怎么根据年月日判断是一年的第几天php怎么根据年月日判断是一年的第几天Apr 22, 2022 pm 05:02 PM

判断方法:1、使用“strtotime("年-月-日")”语句将给定的年月日转换为时间戳格式;2、用“date("z",时间戳)+1”语句计算指定时间戳是一年的第几天。date()返回的天数是从0开始计算的,因此真实天数需要在此基础上加1。

php怎么替换nbsp空格符php怎么替换nbsp空格符Apr 24, 2022 pm 02:55 PM

方法:1、用“str_replace(" ","其他字符",$str)”语句,可将nbsp符替换为其他字符;2、用“preg_replace("/(\s|\&nbsp\;||\xc2\xa0)/","其他字符",$str)”语句。

php怎么判断有没有小数点php怎么判断有没有小数点Apr 20, 2022 pm 08:12 PM

php判断有没有小数点的方法:1、使用“strpos(数字字符串,'.')”语法,如果返回小数点在字符串中第一次出现的位置,则有小数点;2、使用“strrpos(数字字符串,'.')”语句,如果返回小数点在字符串中最后一次出现的位置,则有。

php字符串有没有下标php字符串有没有下标Apr 24, 2022 am 11:49 AM

php字符串有下标。在PHP中,下标不仅可以应用于数组和对象,还可应用于字符串,利用字符串的下标和中括号“[]”可以访问指定索引位置的字符,并对该字符进行读写,语法“字符串名[下标值]”;字符串的下标值(索引值)只能是整数类型,起始值为0。

php怎么读取字符串后几个字符php怎么读取字符串后几个字符Apr 22, 2022 pm 08:31 PM

在php中,可以使用substr()函数来读取字符串后几个字符,只需要将该函数的第二个参数设置为负值,第三个参数省略即可;语法为“substr(字符串,-n)”,表示读取从字符串结尾处向前数第n个字符开始,直到字符串结尾的全部字符。

See all articles

ホットAIツール

Undresser.AI Undress

Undresser.AI Undress

リアルなヌード写真を作成する AI 搭載アプリ

AI Clothes Remover

AI Clothes Remover

写真から衣服を削除するオンライン AI ツール。

Undress AI Tool

Undress AI Tool

脱衣画像を無料で

Clothoff.io

Clothoff.io

AI衣類リムーバー

AI Hentai Generator

AI Hentai Generator

AIヘンタイを無料で生成します。

ホットツール

DVWA

DVWA

Damn Vulnerable Web App (DVWA) は、非常に脆弱な PHP/MySQL Web アプリケーションです。その主な目的は、セキュリティ専門家が法的環境でスキルとツールをテストするのに役立ち、Web 開発者が Web アプリケーションを保護するプロセスをより深く理解できるようにし、教師/生徒が教室環境で Web アプリケーションを教え/学習できるようにすることです。安全。 DVWA の目標は、シンプルでわかりやすいインターフェイスを通じて、さまざまな難易度で最も一般的な Web 脆弱性のいくつかを実践することです。このソフトウェアは、

PhpStorm Mac バージョン

PhpStorm Mac バージョン

最新(2018.2.1)のプロフェッショナル向けPHP統合開発ツール

SublimeText3 Mac版

SublimeText3 Mac版

神レベルのコード編集ソフト(SublimeText3)

MinGW - Minimalist GNU for Windows

MinGW - Minimalist GNU for Windows

このプロジェクトは osdn.net/projects/mingw に移行中です。引き続きそこでフォローしていただけます。 MinGW: GNU Compiler Collection (GCC) のネイティブ Windows ポートであり、ネイティブ Windows アプリケーションを構築するための自由に配布可能なインポート ライブラリとヘッダー ファイルであり、C99 機能をサポートする MSVC ランタイムの拡張機能が含まれています。すべての MinGW ソフトウェアは 64 ビット Windows プラットフォームで実行できます。

ZendStudio 13.5.1 Mac

ZendStudio 13.5.1 Mac

強力な PHP 統合開発環境