[翻译]PHP安全小建议（上）
| -----------------
PHP安全建议#5 PHP安全是一个持续的任务，它要求程序员思考应用程序参数外面的情况，现在，光是想着“它(应用程序)做了我想让它做的事吗?”你必须同时考虑到"人们还能用它来干什么和我允许他们这样做吗?"今天的安全建议是一个所有程序员必须每天背诵的格言： 永远不要相信用户。(Never trust the user) 用户是邪恶的，尽管就现实生活来说是很悲哀的事情，他们千方百计就为了破解你的应用程序，只要你掉以轻心然后这样想着：“我不过是兜售一点喂饱了的小动物而已(开发应用程序的一个比喻，译者注)，我的用户真的能这么邪恶?”，那么你已经输掉了这声战斗。 好吧，也许事情还没这么恐怖的地步，但你仍然需要对一部分用户保持警惕之心。第二个所有程序员必须每天背诵的格言出现了 过滤输入，编码输出(Filter Input, Escape Output) 是的，FIFO(好吧，它的发音不像GIGO那么酷) ，它却是所有具有安全意识的程序员赖以生存的魔咒之一。 ------------------------------------------------------------------------------ PHP Security Tip #6 Cal Evans (editor) | 5 comments | Thursday, March 8, 2007 The topic of writing secure applications in PHP covers more than just writing good PHP code. Most applications make use of a database of some kind. Many times, vulnerabilities that affect the entire application, are introduced when building the SQL code. Today''s Tip of the Day deals with one easy solution developers can implement. When dealing with numbers in a SQL query, always cast. Even if you are filtering your input, a good and easy to implement safety measure is to cast all numeric values in the SQL statement. Take for example the following code. $myId = filter_var(
 Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
 $sql = ''SELECT * FROM table WHERE id = ''.$myId; Even though you are applying the native PHP filters built into PHP 5.2, there is something additional you can do. Try this instead. $myId = filter_var(
Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
$sql = ''SELECT * FROM table WHERE id = ''.(int)$myId; This final cast of the variable to an int removes any doubt about what will be passed to MySQL. The example above is purposefully simplified. In real-life situations, the code would be more complex and the chance for error much greater. By applying the final cast to in building the select statement, you are adding one more level of safety into your application. ------------------------------------------------------------------------------ PHP安全建议#6 编写安全的PHP应用程序的话题远不止编写良好的PHP代码，大部分的应用都会这样或那样地用到数据库，很多时候，在建立SQL代码的过程中，影响整个应用的安全隐患也钻了进来。 在SQL查询中处理数字时，务必进行投射(cast) 即使在过滤输入，一个简单而好用的安全措施是在SQL语句中投射所有的数字类型值。如下列代码所示 $myId = filter_var(
Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
$sql = ''SELECT * FROM table WHERE id = ''.$myId; 即便你使用PHP5.2内置的原生PHP过滤器(请参考最新PHP手册【某些旧的中文版本的PHP手册没有这个章节】Data Filtering一节，译者注)，你还可以做一些其他 |
|||||||||||||||
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |