カスタム PHP 関数を作成する際に注意すべきセキュリティ上の考慮事項は何ですか?-PHPチュートリアル-php.cn

カスタム PHP 関数を作成する際に注意すべきセキュリティ上の考慮事項は何ですか?

WBOY

リリース： 2024-04-22 17:54:01

オリジナル

742 人が閲覧しました

PHP カスタム関数のセキュリティに関する考慮事項には、インジェクションおよびクロスサイトスクリプティング攻撃を防止するためのユーザー入力の検証、型強制攻撃を防止するための関数の使用の制限、期待される入力値のエスケープのみを許可するためのクロスサイトの防止などがあります。スクリプト攻撃; 機能へのアクセスを制限し、実装の詳細を隠し、不正なアクセスを防ぎます。

创建自定义 PHP 函数时应注意哪些安全注意事项？

PHP カスタム関数のセキュリティに関する考慮事項

PHP でカスタム関数を作成する場合、潜在的な悪意のある使用を防ぐために、そのセキュリティを確保することが重要です。セキュリティに関する重要な考慮事項をいくつか示します。

1. ユーザー入力の検証

ユーザー入力を検証するには、filter_input() または filter_var() 関数を使用します。、形式が整っていて、期待されるデータが含まれていることを確認します。悪意のある文字を排除することで、コードインジェクションやクロスサイトスクリプティング攻撃を防ぐことができます。

<?php
function sanitizeInput($input) {
  return filter_input(INPUT_POST, $input, FILTER_SANITIZE_STRING);
}
?>

ログイン後にコピー

2. 関数の使用を制限する

declare(strict_types=1); ステートメントを使用して、厳密な型指定を有効にし、型付き変数の使用を強制します。これは、攻撃者が予期しない値を関数に渡そうとする型強制攻撃を防ぐのに役立ちます。

<?php
declare(strict_types=1);

function sum(int $a, int $b): int {
  return $a + $b;
}
?>

ログイン後にコピー

3. パラメーターホワイトリストを使用する

予期される入力値のみを許可するパラメーターホワイトリストを作成します。 in_array() または array_key_exists() 関数を使用して、入力がホワイトリストと一致するかどうかを確認します。

<?php
function checkRole($role) {
  $validRoles = ['user', 'admin', 'moderator'];
  return in_array($role, $validRoles);
}
?>

ログイン後にコピー

4. 出力のエスケープ

クロスサイトスクリプティング攻撃を防ぐために出力をエスケープするには、htmlspecialchars() または htmlentities() 関数を使用します。この攻撃により、攻撃者は Web サイトに悪意のあるコードを挿入することができます。

<?php
function displayMessage($message) {
  echo htmlspecialchars($message);
}
?>

ログイン後にコピー

5. 関数へのアクセスを制限する

可視性指定子 (public、protected、private) を使用して関数へのアクセスを制限します。。これは、実装の詳細を隠し、不正なアクセスを防ぐのに役立ちます。

<?php
class User {
  private function getPassword() {
    // ...
  }
}
?>

ログイン後にコピー

実用的なケース

ユーザーが検証のために電子メールアドレスを入力できるようにするサンプル PHP 関数を考えてみましょう。これらのセキュリティ上の考慮事項に従うことで、関数の安全性を確保できます。

<?php
function validateEmail($email) {
  // 验证输入
  $email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL);

  // 检查电子邮件格式
  if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    throw new InvalidArgumentException('Invalid email address');
  }

  // 检查长度
  if (strlen($email) > 255) {
    throw new InvalidArgumentException('Email address too long');
  }

  // 检查域名是否存在
  $domain = explode('@', $email)[1];
  if (!checkdnsrr($domain, 'MX')) {
    throw new InvalidArgumentException('Invalid domain');
  }

  return true;
}
?>

ログイン後にコピー

これらのセキュリティ上の考慮事項に従うことで、カスタム PHP 関数が一般的な攻撃から安全であり、ユーザーとアプリケーションを保護できるようになります。

以上がカスタム PHP 関数を作成する際に注意すべきセキュリティ上の考慮事項は何ですか?の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。