PHPサイトのセキュリティ対策

PHP Web サイトのセキュリティ保護対策

はじめに

Web サイトを攻撃から保護することは非常に重要です。サイバー脅威は重要です。 PHP Web サイトの場合、適切なセキュリティ対策を講じることがデータとユーザーの信頼を維持するための鍵となります。この記事では、一連の効果的かつ実践的な PHP セキュリティ保護対策を検討し、実践的な事例を示します。

1. 入力検証

• 目的:悪意のある入力によるコード実行や SQL インジェクション攻撃を防止します。
• 方法:組み込みの PHP 関数 (filter_input()など) またはサードパーティのライブラリ (htmlpurifierなど) を使用して、ユーザー入力を検証し、悪意のある文字と HTML コードを除外します。

#実際のケース:

        

         ログイン後にコピー
        
       

2. 出力エンコーディング

• 目的:XSS 攻撃を防ぐために、機密データ (パスワードなど) を判読できない形式にエンコードします。
• 方法:htmlspecialchars()またはesc_html()関数を使用して、出力するデータをエンコードします。

実際のケース:

        

         ログイン後にコピー
        
       

3. ハッシュとソルト

• 目的:パスワードは、データベースが漏洩した場合でも回復できないように安全に保管してください。
• 方法:password_hash()関数を使用してパスワードをハッシュし、ハッシュ値の前にランダムな文字 (ソルト付き) を追加します。

実際のケース:

        

         ログイン後にコピー
        
       

4. CSRF 保護

##目的:
• ユーザーの認証を悪用して不正なアクションを実行する、クロスサイト リクエスト フォージェリ攻撃を防止します。
方法:
• 同期トークンまたは CSRF ミドルウェアを使用して、リクエストが信頼できるソースからのものであるかどうかを確認します。

// 检查 CSRF 令牌 if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) { die("Invalid CSRF token"); }

目的:
• クロスドメイン スクリプティング攻撃や情報漏洩などの一般的な攻撃から Web サイトを保護します。
方法:
• 応答 HTTP ヘッダーにセキュリティ ヘッダーを設定します (例:XX-Frame-Options、Content-Security-Policy)、クロスドメインアクセスと悪意のあるスクリプトを制限します。

// 设置日志记录系统 $fp = fopen('application.log', 'a'); fwrite($fp, "Login attempt from " . $_SERVER['REMOTE_ADDR'] . "\n");