如何在PHP表單中設定過期時間，加強安全措施-php教程-PHP中文網

如何在PHP表單中設定過期時間，加強安全措施

WBOY

發布： 2023-06-24 11:52:01

原創

1453 人瀏覽過

PHP表單是網站開發中常用的一種互動方式，它可以接收使用者輸入並將資料傳遞到伺服器端進行處理。然而，由於表單資料是透過HTTP傳輸的，因此存在一定的安全隱患。其中之一就是容易被惡意攻擊者利用重播攻擊進行資料篡改或偽裝攻擊，為了防止這種攻擊，我們可以在PHP表單中設定過期時間，加強安全措施。本文將介紹如何在PHP表單中設定過期時間，進而加強安全防護。

什麼是過期時間

過期時間是指在表單提交之前，設定一個時間限制，如果在規定時間內沒有提交，表單就會失效。這種機制可以防止表單被惡意攻擊者利用重播攻擊進行資料竄改或偽裝攻擊。同時，過期時間也可以限製表單的有效期，避免無用的資料佔用伺服器資源。

如何設定過期時間

PHP中可以使用session技術來設定過期時間，範例程式碼如下：

<?php
session_start();
if (isset($_SESSION['LAST_ACTIVITY']) && (time() - $_SESSION['LAST_ACTIVITY'] > 1800)) {
    session_unset();
    session_destroy();
}
$_SESSION['LAST_ACTIVITY'] = time();
?>

登入後複製

上述程式碼的意思是，如果目前時間減去上一次操作的時間大於1800秒（30分鐘），則銷毀session。

怎麼利用過期時間加強表單安全性

在設定完過期時間之後，我們還需要在表單提交時對表單資料進行驗證，例如可以對關鍵字段進行資料校驗過濾，防止SQL注入、XSS攻擊、CSRF攻擊等安全威脅。以下是一些具體的措施：

3.1 資料校驗

在接收表單提交資料時，我們可以使用PHP的篩選器函數，對表單提交的資料進行過濾、驗證和清洗，提高資料的安全性。過濾器函數可以對資料類型、長度、大小寫、特殊字元進行校驗，程式碼範例如下：

<?php
// 过滤输入的字符串
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);

// 验证电子邮箱格式
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);

// 校验输入的 URL
$url = filter_input(INPUT_POST, 'url', FILTER_VALIDATE_URL);

// 验证IP地址
$ip = filter_input(INPUT_POST, 'ip', FILTER_VALIDATE_IP);
?>

登入後複製

3.2 防止SQL注入

在表單資料存入資料庫之前，我們可以透過使用參數綁定、轉義字元等方法，來防止SQL注入。其中，參數綁定可以使用PDO或mysqli函式庫，轉義字元可以使用addslashes等函數。範例程式碼如下：

<?php
// 参数绑定防止 SQL 注入
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
$stmt->bindParam(':username', $username);
$stmt->execute();

// 转义字符串防止 SQL 注入
$username = addslashes($_POST['username']);
$password = addslashes($_POST['password']);
?>

登入後複製

3.3 防止XSS攻擊

在輸出表單資料時，我們可以對提交的資料進行過濾，防止XSS攻擊。可以使用PHP的htmlspecialchars等函數，將特殊字元轉換為HTML轉義字符，範例程式碼如下：

<?php
// 输出转义后的字符串
echo htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
?>

登入後複製

3.4 防止CSRF攻擊

為了防止CSRF攻擊，我們可以為表單新增一個csrf_token，用來驗證表單的來源是否合法。可以使用PHP的session來儲存token，範例程式碼如下：

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $csrf_token = $_POST['csrf_token'];
    if (!isset($_SESSION['csrf_token']) || $_SESSION['csrf_token'] !== $csrf_token) {
        die('非法请求');
    }
}
$csrf_token = md5(uniqid(rand(), true));
$_SESSION['csrf_token'] = $csrf_token;
?>
<form method="post">
    <input type="hidden" name="csrf_token" value="<?php echo $csrf_token;?>">
    <input type="text" name="username">
    <input type="password" name="password">
    <button>提交</button>
</form>

登入後複製