カスタム PHP 関数を作成する際に注意すべきセキュリティ上の考慮事項は何ですか?

PHP カスタム関数のセキュリティに関する考慮事項には、インジェクションおよびクロスサイト スクリプティング攻撃を防止するためのユーザー入力の検証、型強制攻撃を防止するための関数の使用の制限、期待される入力値のエスケープのみを許可するためのクロスサイトの防止などがあります。スクリプト攻撃; 機能へのアクセスを制限し、実装の詳細を隠し、不正なアクセスを防ぎます。

PHP カスタム関数のセキュリティに関する考慮事項

PHP でカスタム関数を作成する場合、潜在的な悪意のある使用を防ぐために、そのセキュリティを確保することが重要です。セキュリティに関する重要な考慮事項をいくつか示します。

1. ユーザー入力の検証

ユーザー入力を検証するには、filter_input() または filter_var() 関数を使用します。 、形式が整っていて、期待されるデータが含まれていることを確認します。悪意のある文字を排除することで、コード インジェクションやクロスサイト スクリプティング攻撃を防ぐことができます。

<?php
function sanitizeInput($input) {
  return filter_input(INPUT_POST, $input, FILTER_SANITIZE_STRING);
}
?>

2. 関数の使用を制限する

declare(strict_types=1); ステートメントを使用して、厳密な型指定を有効にし、型付き変数の使用を強制します。これは、攻撃者が予期しない値を関数に渡そうとする型強制攻撃を防ぐのに役立ちます。

<?php
declare(strict_types=1);

function sum(int $a, int $b): int {
  return $a + $b;
}
?>

3. パラメーター ホワイトリストを使用する

予期される入力値のみを許可するパラメーター ホワイトリストを作成します。 in_array() または array_key_exists() 関数を使用して、入力がホワイトリストと一致するかどうかを確認します。

<?php
function checkRole($role) {
  $validRoles = ['user', 'admin', 'moderator'];
  return in_array($role, $validRoles);
}
?>

4. 出力のエスケープ

クロスサイト スクリプティング攻撃を防ぐために出力をエスケープするには、htmlspecialchars() または htmlentities() 関数を使用します。この攻撃により、攻撃者は Web サイトに悪意のあるコードを挿入することができます。

<?php
function displayMessage($message) {
  echo htmlspecialchars($message);
}
?>

5. 関数へのアクセスを制限する

可視性指定子 (public、protected、private) を使用して関数へのアクセスを制限します。 。これは、実装の詳細を隠し、不正なアクセスを防ぐのに役立ちます。

<?php
class User {
  private function getPassword() {
    // ...
  }
}
?>

実用的なケース

ユーザーが検証のために電子メール アドレスを入力できるようにするサンプル PHP 関数を考えてみましょう。これらのセキュリティ上の考慮事項に従うことで、関数の安全性を確保できます。

<?php
function validateEmail($email) {
  // 验证输入
  $email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL);

  // 检查电子邮件格式
  if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    throw new InvalidArgumentException('Invalid email address');
  }

  // 检查长度
  if (strlen($email) > 255) {
    throw new InvalidArgumentException('Email address too long');
  }

  // 检查域名是否存在
  $domain = explode('@', $email)[1];
  if (!checkdnsrr($domain, 'MX')) {
    throw new InvalidArgumentException('Invalid domain');
  }

  return true;
}
?>

これらのセキュリティ上の考慮事項に従うことで、カスタム PHP 関数が一般的な攻撃から安全であり、ユーザーとアプリケーションを保護できるようになります。

以上がカスタム PHP 関数を作成する際に注意すべきセキュリティ上の考慮事項は何ですか?の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。