整理一些PHP開發安全性問題

　　php給了開發者極大的靈活性，但這也為安全問題帶來了潛在的隱患，近期需要總結一下以往的問題，在這裡借翻譯一篇文章同時加上自己開發的一些感觸總結一下。

　簡介

　　當開發一個互聯網服務的時候，必須時刻牢記安全觀念，並在開發的程式碼中體現。 PHP腳本語言對安全性問題並不關心，特別是對大多數沒有經驗的開發者來說。每當你講任何涉及到錢財事務等交易問題時，需要特別注意安全問題的考慮，例如開發一個論壇或是一個購物車等。

　安全保護一般要點

不相信表單

　　對於一般的Javascript前台驗證，由於無法得知使用者的行為，例如關閉了瀏覽器的javascript引擎，這樣透過POST惡意資料到伺服器。需要在伺服器端進行驗證，對每個php腳本驗證傳遞到的數據，防止XSS攻擊和SQL注入

#不相信用戶

　　要假設你的網站接收的每一條資料都是存在惡意程式碼的，存在隱藏的威脅，要對每一條資料都進行清理

關閉全域變數

　　在php.ini檔案中進行以下設定：

register_globals = Off

登入後複製

　　如果這個設定選項開啟之後，會出現很大的安全隱患。例如有一個process.php的腳本文件，會將接收到的資料插入資料庫，接收使用者輸入資料的表單可能如下：

<input name="username" type="text" size="15" maxlength="64">

登入後複製

　　這樣，當提交資料到process.php之後，php會註冊一個$username變量，將這個變數資料提交到process.php，同時對於任何POST或GET請求參數，都會設定這樣的變數。如果不是顯示進行初始化那麼就會出現下面的問題（參考：http://www.lai18.com/content/434606.html）

<?php
// Define $authorized = true only if user is authenticated
if (authenticated_user()) {
    $authorized = true;
}
?>

登入後複製

此處，假設authenticated_user函數就是判斷$authorized變數的值，如果開啟了register_globals配置，那麼任何使用者都可以發送一個請求，來設定$authorized變數的值為任意值從而就能繞過這個驗證。

　　所有的這些提交資料都應該透過PHP預先定義內建的全域數組來獲取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一個$_GET/$ _POST/$_COOKIE三個數組的聯合變量，預設的順序是$_COOKIE、$_POST、$_GET。

建議的安全配置選項

　　error_reporting設定為Off：不要暴露錯誤訊息給用戶，開發的時候可以設定為ON

　　safe_mode設定為Off

　　register_globals設定為Off

　　將以下函數停用：system、exec、passthru、shell_exec、proc_open、popen

　　open_basedir設定為/tmp ，這樣就可以讓儲存空間有儲存權限，同時設置單獨的網站根目錄

　　expose_php設置為Off

　　allow_url_fopen設置為Off

　　allow_url_include設置為Off