PHP サーバーのセキュリティ設定と保護に関する推奨事項-PHPチュートリアル-php.cn

PHP サーバーのセキュリティ設定と保護に関する推奨事項

WBOY

リリース： 2023-08-08 11:38:01

オリジナル

1121 人が閲覧しました

PHP サーバーのセキュリティ設定と保護に関する推奨事項

インターネットの発展に伴い、PHP はサーバーサイドのスクリプト言語として非常に人気があり、Web 開発で広く使用されています。。しかし、PHP サーバーは、そのオープン性と習得が容易な特性により、ハッカー攻撃の標的の 1 つにもなっています。サーバーやアプリケーションのセキュリティを守るためには、何らかのセキュリティ設定や保護対策を講じる必要があります。

以下では、PHP サーバーのセキュリティ設定と保護に関する提案をいくつか紹介します。

PHP バージョンを更新する

PHP バージョンを定期的に更新して、サーバーが安全であることを確認します。セキュリティは重要な対策の 1 つです。通常、新しいバージョンでは、古いバージョンに存在したセキュリティの脆弱性が修正されます。さらに、更新されたバージョンでは、新しいセキュリティ機能と機能強化も導入されています。サーバーのセキュリティを高めるために、可能な限り最新の PHP バージョンを維持してください。

エラー報告をオフにする

PHP のエラー報告機能はサーバーの機密情報を公開し、ハッカーに攻撃の可能性を与える可能性があります。運用環境では、機密情報の漏洩を避けるために、エラー報告を無効にする必要があります。 php.ini ファイルで、error_reporting を 0 に設定して、エラー報告をオフにします。

error_reporting(0);

ログイン後にコピー

安全な MySQL クエリを使用する

ユーザーが指定したデータを PHP アプリケーションで直接使用して MySQL クエリを実行する場合、SQL インジェクションのリスクがあります。 SQL インジェクション攻撃を防ぐには、プリペアドステートメントを使用するか、ユーザーが入力したデータをエスケープする必要があります。 PDO プリペアドステートメントを使用したクエリのサンプルコードを次に示します。

$pdo = new PDO("mysql:host=localhost;dbname=test", $username, $password);

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->bindParam(":username", $_GET['username']);
$stmt->execute();

$result = $stmt->fetch(PDO::FETCH_ASSOC);

ログイン後にコピー

適切なファイルアクセス許可を設定する

サーバー上で実行されている PHP スクリプトと関連ファイルには、保護するための適切なファイルアクセス許可が必要です。サーバーが不正なアクセスや変更から保護されます。一般に、PHP ファイルのアクセス許可は 0644 に設定し、ディレクトリのアクセス許可は 0755 に設定する必要があります。次のコードを使用して、ファイルのアクセス許可を変更できます。

chmod("/path/to/file.php", 0644);
chmod("/path/to/directory", 0755);

ログイン後にコピー

ユーザー入力のフィルタリング

ユーザー入力を処理するときは、悪意のある入力を防ぐために厳密にフィルタリングおよび検証する必要があります。クロスサイトスクリプティング攻撃 (XSS)。 PHP のフィルター機能を使用して、ユーザーが入力したデータをチェックし、悪意のあるコードを除外します。たとえば、filter_var 関数を使用すると、電子メールアドレスを確認できます。

$email = $_POST['email'];

if(filter_var($email, FILTER_VALIDATE_EMAIL)){
    // 邮箱地址有效
} else {
    // 邮箱地址无效
}

ログイン後にコピー

ファイルアップロードの脆弱性の防止

ファイルアップロード機能は、ハッカーによるアップロードを可能にする一般的なセキュリティ脆弱性です。悪意のあるファイルがサーバーに侵入する可能性があります。ファイルアップロードの脆弱性を防ぐためには、アップロードするファイルの種類、サイズ、保存パスを制限し、アップロードされたファイルを厳密に検査してフィルタリングする必要があります。以下は、単純なファイルアップロードのサンプルコードです。

$target_dir = "/path/to/uploads/";
$target_file = $target_dir . basename($_FILES["file"]["name"]);
$uploadOk = 1;
$imageFileType = strtolower(pathinfo($target_file,PATHINFO_EXTENSION));

// 检查文件大小
if ($_FILES["file"]["size"] > 500000) {
    echo "文件太大。";
    $uploadOk = 0;
}

// 检查文件类型
if($imageFileType != "jpg" && $imageFileType != "png" && $imageFileType != "jpeg"
&& $imageFileType != "gif" ) {
    echo "只允许上传JPG, JPEG, PNG 或 GIF 文件。";
    $uploadOk = 0;
}

if ($uploadOk == 0) {
    echo "文件上传失败。";
} else {
    if (move_uploaded_file($_FILES["file"]["tmp_name"], $target_file)) {
        echo "文件上传成功。";
    } else {
        echo "文件上传失败。";
    }
}

ログイン後にコピー

要約すると、サーバーのセキュリティ設定と保護は、PHP アプリケーションを保護するための重要なタスクです。 PHP バージョンを更新し、エラー報告をオフにし、安全な MySQL クエリを使用し、適切なファイル権限を設定し、ユーザー入力をフィルタリングし、ファイルアップロードの脆弱性を防止することにより、PHP サーバーのセキュリティを向上させ、ハッカーによる攻撃のリスクを軽減できます。 PHP アプリケーションを開発するときは、誰もがセキュリティの問題に注意を払い、最新のセキュリティに関する推奨事項とベストプラクティスに常に注意を払う必要があります。

以上がPHP サーバーのセキュリティ設定と保護に関する推奨事項の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。