PHP 웹사이트 보안: 악성 코드 삽입을 방지하는 방법은 무엇입니까?-PHP 튜토리얼-php.cn

PHP 웹사이트 보안: 악성 코드 삽입을 방지하는 방법은 무엇입니까?

인터넷이 발달하면서 웹사이트 보안이 심각한 문제가 되었습니다. 악성코드 주입은 일반적인 공격 방법 중 하나로, 웹사이트에 악성코드를 입력해 사용자의 민감한 정보를 탈취하거나 웹사이트를 손상시키는 것이 목적이다. 이번 글에서는 악성코드 삽입을 방지하기 위한 몇 가지 대책을 소개하고 코드 예시를 제공하겠습니다.

입력 유효성 검사 및 필터링
입력 유효성 검사는 악성 코드 삽입을 방지하는 기본 수단 중 하나입니다. PHP의 내장 기능을 사용하여 사용자가 입력한 데이터를 확인하고 필터링하여 입력 데이터가 예상 형식 및 유형을 준수하는지 확인하세요. 다음은 일반적으로 사용되는 확인 및 필터링 기능입니다.

filter_var()이 함수는 이메일 주소, URL, 정수 등과 같은 다양한 유형의 데이터를 확인하고 필터링할 수 있습니다.filter_var()函数可以校验和过滤各种类型的数据，如邮箱地址、URL、整数等。

$email = $_POST['email']; if (!filter_var($email, FILTER_VALIDATE_EMAIL)) { // 邮箱地址不合法，进行相应处理 }

로그인 후 복사

preg_match()函数可用于使用正则表达式对数据进行匹配检查。

$username = $_POST['username']; if (!preg_match("/^[a-zA-Z0-9]*$/", $username)) { // 用户名包含非法字符，进行相应处理 }

로그인 후 복사

转义输出
转义输出是另一项重要的防范恶意代码注入的措施。当用户输入的数据需要在网页的可见部分进行输出时，要使用合适的转义函数对数据进行处理，以避免恶意代码被执行。以下是一些常用的转义函数：

htmlspecialchars()函数可将特殊字符转换为HTML实体，防止脚本被执行。

$username = $_POST['username']; echo "Welcome, " . htmlspecialchars($username) . "!";

로그인 후 복사

mysqli_real_escape_string()函数可用于对SQL查询中的特殊字符进行转义，以防止SQL注入攻击。

$username = $_POST['username']; $password = $_POST['password']; $username = mysqli_real_escape_string($conn, $username); $password = mysqli_real_escape_string($conn, $password); $sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";

로그인 후 복사

使用预处理语句
使用预处理语句是防范SQL注入的一种高级方法。预处理语句能够将SQL查询和参数分开处理，避免了恶意代码注入的风险。以下是一个使用预处理语句的示例：

$username = $_POST['username']; $password = $_POST['password']; $stmt = $conn->prepare("SELECT * FROM users WHERE username=? AND password=?"); $stmt->bind_param("ss", $username, $password); $stmt->execute(); $result = $stmt->get_result(); if ($result->num_rows > 0) { // 用户名和密码匹配，进行相应处理 }

로그인 후 복사