1. 不要依赖注册全局变量功能(register_globals)
注册全局变量的出现曾经让 PHP 变得非常易用, 但也降低了安全性 (方便之处经常会破坏安全性) 建议在编程时把 register_globals 指令关闭, 在 PHP6 中这个功能也会被取消
2. 在使用变量之前对其进行初始化
如果 register_globals 功能是启动的, 即使程序员不使用它, 恶意用户也可能利用为初始化变量的漏洞来侵入我们的系统比如:
- if(conditon){
- $auth=TRUE;
- }
如果变量 $auth 没有在这段之前被初始化为 FALSE, 那么用户就可以向脚本传递 $_GET[auth']$_POST[auth']或 $_COOKIE[auth']轻易的实现验证
3. 检验和净化全部输入数据
4. 在利用变量引用包含文件时要小心
如果脚本中有这样的代码:
require($page);
那么就应该确保 $page 不会来自外部资源(比如 $_GET), 或者, 如果它的确来自于外部资源, 那么就要确保它包含适当的值
5. 在使用任何服务器上执行命令的函数都要多加小心
这些函数包括 eval()exec()system()passthru()popen()和反撇号 (``) 这些函数都能够在服务器上执行命令, 永远都不要随意使用如果在命令里不得不包含便来那个, 就应该对这个变量进行彻底的安全检查还应该使用 escapeshellarg() escapeshellcom()进行额外的预处理
6. 更改默认的会话目录, 或者使用数据库保存会话数据
7. 不要使用浏览器提供的文件名在服务器上保存上传的文件
8. 如果被提交的数据需要在 web 页面中重新显示, 一定要注意其中的 html, 更重要的是 JAVASCRIPT
可以利用函数
string htmlspecialchars ( string string [, int quote_style [, string charset]])
对提交的数据进行处理
9 不要在站点上暴露你的 PHP 错误信息
PHP 错误信息能够在你开发的过程中把错误信息输出方便你的检查, 但是如果暴露在 Web 上面, 很可以成为攻击者的入口
10. 防止 SQL 注入攻击
应该使用特定语言的数据库转义函数, 比如 mysqli_real_escape_data(), 确保提交的内容不会破坏查询操作
11. 永远不要在服务器上保存 phpinfo()脚本
来源: https://www.php1.cn/detail/php-240d057841.html