编写安全 PHP 应用程序的七个习惯

作者佚名技术来源 NET编程浏览发布时间 2012-05-25

攻击进行保护，则会造成严重的破坏。例如，某个人可以添加模仿站点样式的链接以达到欺骗（phishing）目的（请参阅参考资料）。

清单 11. 恶意输入文本样例
<script type="text/javascript">myRef = window.open(''http://www.google.com'',''mywin'',''left=20,top=20,width=500,height=500,toolbar=1,resizable=0'');</script>

要防止受到 XSS 攻击，只要变量的值将被打印到输出中，就需要通过htmlentities()函数过滤输入。记住要遵循第一个习惯：在 Web 应用程序的名称、电子邮件地址、电话号码和帐单信息的输入中用白名单中的值验证输入数据。

下面显示了更安全的显示文本输入的页面。

清单 12. 更安全的表单
<html><head><title>Results demonstrating XSS</title></head><body><?phpecho("<p>You typed this:</p>");echo("<p>");echo(htmlentities( 编写安全 PHP 应用程序的七个习惯 - 凌众科技

网站建设|独享带宽服务器|优惠促销机型|付款方式|联系我们

快速业务通道

欢迎光临凌众科技，我们将竭诚为您提供最优质的服务！业务电话：0592-5908028 技术支持电话：0592-5908020

技术文章 > Web编程 > PHP编程 > 正文

文件 -1 text win2 服务域名

编写安全 PHP 应用程序的七个习惯

作者佚名技术来源 NET编程浏览发布时间 2012-05-25

content

凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!

分享到：更多

你可能对下面的文章感兴趣

上一篇: 实现PHP的编译执行分离（separating compilation and execution下一篇: PHP-Javascript“返回上一页”无缓存问题

关于编写安全 PHP 应用程序的七个习惯的所有评论

随机推荐

地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁）邮编(ZIP)：361008

电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134

《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号

POST[''myText'']));echo("</p>");?></body></html>

针对无效 post 进行保护
表单欺骗是指有人把 post 从某个不恰当的位置发到您的表单中。欺骗表单的最简单方法就是创建一个通过提交至表单来传递所有值的 Web 页面。由于 Web 应用程序是没有状态的，因此没有一种绝对可行的方法可以确保所发布数据来自指定位置。从 IP 地址到主机名，所有内容都是可以欺骗的。清单 13 显示了允许输入信息的典型表单。

清单 13. 处理文本的表单
<html><head><title>Form spoofing example</title></head><body><?phpif ( 编写安全 PHP 应用程序的七个习惯 - 凌众科技

网站建设|独享带宽服务器|优惠促销机型|付款方式|联系我们

快速业务通道

欢迎光临凌众科技，我们将竭诚为您提供最优质的服务！业务电话：0592-5908028 技术支持电话：0592-5908020

技术文章 > Web编程 > PHP编程 > 正文

文件 -1 text win2 服务域名

编写安全 PHP 应用程序的七个习惯

作者佚名技术来源 NET编程浏览发布时间 2012-05-25

content

分享到：更多

你可能对下面的文章感兴趣

上一篇: 实现PHP的编译执行分离（separating compilation and execution下一篇: PHP-Javascript“返回上一页”无缓存问题

关于编写安全 PHP 应用程序的七个习惯的所有评论

随机推荐

地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁）邮编(ZIP)：361008

电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134

《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号

POST[''submit''] == ''Save'') {echo("<p>I am processing your text: ");echo( 编写安全 PHP 应用程序的七个习惯 - 凌众科技

网站建设|独享带宽服务器|优惠促销机型|付款方式|联系我们

快速业务通道

欢迎光临凌众科技，我们将竭诚为您提供最优质的服务！业务电话：0592-5908028 技术支持电话：0592-5908020

技术文章 > Web编程 > PHP编程 > 正文

文件 -1 text win2 服务域名

编写安全 PHP 应用程序的七个习惯

作者佚名技术来源 NET编程浏览发布时间 2012-05-25

content

分享到：更多

你可能对下面的文章感兴趣

上一篇: 实现PHP的编译执行分离（separating compilation and execution下一篇: PHP-Javascript“返回上一页”无缓存问题

关于编写安全 PHP 应用程序的七个习惯的所有评论

随机推荐

地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁）邮编(ZIP)：361008

电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134

《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号

POST[''myText'']);echo("</p>");}?></body></html>

清单 14 显示了将发布到清单 13 所示表单中的表单。要尝试此操作，您可以把该表单放到 Web 站点中，然后把清单 14 中的代码另存为桌面上的 HTML 文档。在保存表单后，在浏览器中打开该表单。然后可以填写数据并提交表单，从而观察如何处理数据。

清单 14. 收集数据的表单
<html><head><title>Collecting your data</title></head><body><form action="processStuff.php" method="post"><select name="answer"><option value="Yes">Yes</option><option value="No">No</option></select><input type="submit" value="Save" name="submit" /></form></body></html>

表单欺骗的潜在影响是，如果拥有含下拉框、单选按钮、复选框或其他限制输入的表单，则当表单被欺骗时这些限制没有任何意义。考虑清单 15 中的代码，其中包含带有无效数据的表单。

清单 15. 带有无效数据的表单
<html><head><title>Collecting your data</title></head><body><form action="http://path.example.com/processStuff.php"method="post"><input type="text" name="answer"value="There is no way this is a valid response to a yes/no answer..." /><input type="submit" value="Save" name="submit" /></form></body></html>

思考一下：如果拥有限制用户输入量的下拉框或单选按钮，您可能会认为不用担心验证输入的问题。毕竟，输入表单将确保用户只能输入某些数据，对吧？要限制表单欺骗，需要进行验证以确保发布者的身份是真实的。您可以使用一种一次性使用标记，虽然这种技术仍然不能确保表单绝对安全，但是会使表单欺骗更加困难。由于在每次调用表单时都会更改标记

分享到：更多

你可能对下面的文章感兴趣

上一篇: 实现PHP的编译执行分离（separating compilation and execution下一篇: PHP-Javascript“返回上一页”无缓存问题

关于编写安全 PHP 应用程序的七个习惯的所有评论