PHP_PHP チュートリアルで安全なコードを作成する際のよくある間違いの概要

1. HTML エンティティを復号化しない
基本的な常識: すべての信頼できない入力 (特にユーザーがフォームから送信したデータ) は出力前に復号化する必要があります。
echo $_GET['usename'] ;
この例は次のように出力します:
<script>/*管理者パスワードを変更するか、Cookie を設定するスクリプト*/</script>
これは明らかなセキュリティ リスクです。ユーザーは正しく入力しています。
修正方法:
「<」、「>」、「and」などを正しい HTML 表現 (<、>'、および ") に変換する必要があります。関数 htmlspecialchars および htmlentities() は、まさにこれです。
正しい方法:
echo htmlspecialchars($_GET['username'], ENT_QUOTES);
2. 記事内の SQL インジェクションを防ぐ最も簡単な方法 (php+mysql) ) この問題について議論し、簡単な方法を教えてくれた人が、すでに php.ini で magic_quotes を On に設定しているので、この問題について心配する必要はないが、すべての入力が $_GET、$ から来ているわけではない、と言いました。 _POST または $_COOKIE!
修正方法: SQL インジェクションを防ぐ最も簡単な方法 (php+mysql) と同じですが、やはり mysql_real_escape_string() 関数を使用することをお勧めします
正しいアプローチ:

$sql = "UPDATE users SET
name='.mysql_real_escape_string($name).'
WHERE id='.mysql_real_escape_string ($id).'" ; sql);
?>



3. HTTP ヘッダー関連関数の間違った使用: header()、session_start()、setcookie() 警告: ヘッダー情報を追加できません -ヘッダーはすでに送信されました [....]
Web ページがサーバーからダウンロードされるたびに、サーバーの出力はヘッダーと本文の 2 つの部分に分割されます。 ヘッダーには Cookie などの非視覚データが含まれています。常に頭が最初に到着します。テキスト部分には、ビジュアル HTML、画像、その他のデータが含まれます。
output_buffering が Off に設定されている場合、出力がある前にすべての HTTP ヘッダー関連関数を呼び出す必要があります。問題は、ある環境で開発し、別の環境にデプロイすると、output_buffering 設定が異なる可能性があることです。その結果、リダイレクトが停止し、Cookie とセッションが正しく設定されませんでした...

修正方法:
出力する前に必ず http ヘッダー関連関数を呼び出し、output_buffering = Off に設定してください
。

4. ファイルに安全でないデータを使用することを要求するか、含める

もう一度言いますが、明示的に宣言していないデータは信頼しないでください。 $_GET、$_POST、または $_COOKIE から取得したファイルを含めたり、要求したりしないでください。
例:

コードをコピー