PHP データフィルタリング: クロスサイトスクリプティング攻撃を防ぐ方法-PHPチュートリアル-php.cn

PHP データフィルタリング: クロスサイトスクリプティング攻撃を防ぐ方法

王林

リリース： 2023-07-30 18:12:01

オリジナル

1723 人が閲覧しました

PHP データフィルタリング: クロスサイトスクリプティング攻撃を防ぐ方法

はじめに:
現代のネットワーク環境では、クロスサイトスクリプティング (XSS) が最も一般的かつ危険なネットワークの 1 つとなっています。セキュリティの脆弱性。 XSS 攻撃は、Web サイトによるユーザー入力データの不適切な処理を利用し、攻撃者が悪意のあるスクリプトコードを挿入してユーザーの機密情報を取得することを可能にします。この記事では、PHP データフィルタリングを通じてクロスサイトスクリプティング攻撃を防ぐ方法を説明し、いくつかのサンプルコードを提供します。

XSS 攻撃の原理を理解する
XSS 攻撃を防ぐ前に、まず攻撃者がこの脆弱性をどのように利用して攻撃するかを理解する必要があります。 XSS 攻撃は主に、Reflected XSS、Stored XSS、DOM-based XSS の 3 つのタイプに分類されます。反射型および保存型 XSS 攻撃が最も一般的です。攻撃者は、ユーザーが入力したデータに悪意のあるスクリプトコードを挿入し、ユーザーがWebページを閲覧すると、その悪意のあるコードが実行されて攻撃の目的が達成されます。
htmlspecialchars 関数を使用して出力をフィルタリングする
PHP では、htmlspecialchars 関数を使用して出力をフィルタリングし、特殊文字を HTML エンティティにエスケープして、悪意のあるスクリプトコードが実行されるのを防ぐことができます。以下はサンプルコードです:

$userInput = $_GET['input'];
$filteredOutput = htmlspecialchars($userInput);
echo $filteredOutput;

ログイン後にコピー

上の例では、$_GET['input'] は URL パラメーターからユーザーが入力したデータを取得することを意味します。 htmlspecialchars 関数は、ユーザーが入力したデータをエスケープし、ページに出力します。これにより、攻撃者による悪意のあるスクリプトコードの挿入が防止されます。

mysqli または PDO のプリコンパイル済みステートメントを使用してデータベースクエリをフィルタリングする
保存型 XSS 攻撃の場合、攻撃者は悪意のあるコードをデータベースに保存し、バックグラウンドプログラムがデータベースからデータを読み取って出力するときに、このページにアクセスすると、悪意のあるコードが実行されます。この攻撃を防ぐには、mysqli または PDO プリペアドステートメントを使用して入力をフィルタリングできます。

以下は、mysqli プリコンパイル済みステートメントを使用するサンプルコードです:

$conn = new mysqli($servername, $username, $password, $dbname);
$stmt = $conn->prepare("SELECT username FROM users WHERE id = ?");
$stmt->bind_param("i", $userId);
$stmt->execute();
$stmt->bind_result($username);

while ($stmt->fetch()) {
  echo htmlspecialchars($username);
}

$stmt->close();
$conn->close();

ログイン後にコピー

上の例では、mysqli プリコンパイル済みステートメントは、ユーザーが入力した $id を In にバインドするために使用されています。クエリステートメントでは、バインドパラメータのタイプは、bind_param 関数を通じて指定されます。次に、クエリを実行し、bind_result 関数を使用してクエリ結果を変数 $username にバインドします。最後に、htmlspecialchars 関数を使用して出力をフィルタリングし、悪意のあるコードが実行されないようにします。

filter_var 関数を使用してユーザー入力をフィルター処理する
PHP には、ユーザー入力データをフィルター処理するための filter_var 関数が用意されています。 filter_var 関数と FILTER_SANITIZE_STRING などの定義済みフィルターを組み合わせて使用すると、さまざまなタイプのユーザー入力をフィルター処理できます。

以下は、filter_var 関数を使用してユーザー入力をフィルター処理するサンプルコードです。

$userInput = $_POST['input'];
$filteredInput = filter_var($userInput, FILTER_SANITIZE_STRING);
echo $filteredInput;

ログイン後にコピー

上の例では、filter_var 関数を使用してユーザー入力データをフィルター処理しています。指定されたフィルターは FILTER_SANITIZE_STRING で、基本的な文字列文字のみが許可されることを示します。これにより、一部の特殊文字と HTML タグが除外され、XSS 攻撃が防止されます。

結論:
Web サイトのセキュリティを向上させ、クロスサイトスクリプティング攻撃を防ぐには、ユーザーが入力したデータを適切にフィルタリングして処理する必要があります。この記事では、htmlspecialchars 関数を使用して出力をフィルタリングする方法、mysqli または PDO のプリコンパイル済みステートメントを使用してデータベースクエリをフィルタリングする方法、および filter_var 関数を使用してユーザー入力をフィルタリングする方法について説明します。正しいデータのフィルタリングと処理により、Web サイトを XSS 攻撃の脅威から効果的に保護できます。

参考資料:

[PHP公式ドキュメント - htmlspecialchars](https://www.php.net/manual/en/function.htmlspecialchars.php)
[PHP 公式ドキュメント - mysqli](https://www.php.net/manual/en/book.mysqli.php)
[PHP 公式ドキュメント - PDO](https://www.php.net/manual/en/book.mysqli.php) php.net/manual/en/book.pdo.php)
[PHP 公式ドキュメント - filter_var](https://www.php.net/manual/en/function.filter-var.php)
[OWASP - XSS](https://owasp.org/www-community/攻撃/xss/)

以上がPHP データフィルタリング: クロスサイトスクリプティング攻撃を防ぐ方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。