php防注入及開發(fā)安全詳細(xì)解析
更新時間：2013年08月09日 09:11:01 作者：
以下是對php防注入及開發(fā)安全進行了詳細(xì)的分析介紹，需要的朋友可以過來參考下
1、PHP注入的基本原理
程序員的水平及經(jīng)驗也參差不齊，相當(dāng)大一部分程序員在編寫代碼的時候，沒有對 用戶輸入數(shù)據(jù)的合法性進行判斷，使應(yīng)用程序存在安全隱患。用戶可以提交一段數(shù)據(jù) 庫查詢代碼，根據(jù)程序返回的結(jié)果，獲得某些他想得知的數(shù)據(jù)，這就是所謂的 SQL Injection，即SQL注入。 受影響的系統(tǒng)：對輸入的參數(shù)不進行檢查和過濾的系統(tǒng).
SQL注入過程
正常來講，我們通過地址接收一些必要的參數(shù)如：
頁面中我們會使用 2 寫入到SQL語句中
正常情況：Select * From Table where id=2
PHP100.php?id=2
如果我們對SQL語句熟悉，就知道2 我們可以替換成我們需要的SQL語句
如：and exists (select id from admin)
2、防止注入的幾種辦法
其實原來就是我們需要過濾一些我們常見的關(guān)鍵字和符合如：
Select，insert，update，delete，and，*，等等
例子:
復(fù)制代碼 代碼如下:
function inject_check($sql_str) {
return preg_match('/select|insert|update|delete|/'|///*|/*|/././/|/.//|union|into|load_file|outfile/i', $sql_str); // 進行過濾
}
或者是通過系統(tǒng)函數(shù)間的過濾特殊符號
Addslashes（需要被過濾的內(nèi)容）
3、PHP其他地方安全設(shè)置
register_globals = Off 設(shè)置為關(guān)閉狀態(tài)
SQL語句書寫時盡量不要省略小引號和單引號
復(fù)制代碼 代碼如下:
Select * From Table Where id=2 (不規(guī)范)
Select * From ·Table· Where ·id·='2' (規(guī)范)
提高數(shù)據(jù)庫命名技巧，對于一些重要的字段可根據(jù)程序特點命名
對于常用方法加以封裝，避免直接暴露SQL語句
正確的使用 $_POST $_GET $_SESSION 等接受參數(shù)，并加以過濾
相關(guān)文章
本文簡單介紹了PHP操作ZIP壓縮包時需要在不解壓的情況下如何直接顯示其中的圖片或文件,方法很簡單主要利用了PHP中的Zip File 系列函數(shù)，base64_encode函數(shù)，希望對大家能有所啟發(fā)2017-11-11
這篇文章主要介紹了PHP云打印類,結(jié)合完整實例形式分析了php實現(xiàn)網(wǎng)絡(luò)打印數(shù)據(jù)的搜集與隊列排序整理及數(shù)據(jù)打印等功能,具有一定參考借鑒價值,需要的朋友可以參考下2016-10-10
PHP本身的函數(shù)嵌套是沒有限制的，如果說有限制，也是內(nèi)存的限制。這是因為PHP的函數(shù)嵌套是以棧的形式實現(xiàn)的。對于每個函數(shù)都會分配一段內(nèi)存來存儲函數(shù)局部的內(nèi)容。2011-06-06
PHP實現(xiàn)創(chuàng)建微信自定義菜單的方法示例
這篇文章主要介紹了PHP實現(xiàn)創(chuàng)建微信自定義菜單的方法,結(jié)合實例形式分析了php創(chuàng)建微信自定義菜單的原理、步驟與具體實現(xiàn)技巧,需要的朋友可以參考下2017-07-07
這篇文章主要介紹了php事務(wù)處理實例詳解,需要的朋友可以參考下2014-07-07
mysql 搜索之簡單應(yīng)用...2007-04-04
這篇文章主要介紹了PHP使用ffmpeg給視頻增加字幕顯示的方法,實例分析了php操作ffmpeg給視頻增加字母的技巧,具有一定參考借鑒價值,需要的朋友可以參考下2015-03-03
本篇文章是小編為大家整理的關(guān)于PHP開發(fā)規(guī)范的相關(guān)內(nèi)容，適合PHP初學(xué)者，一起參考下吧。2018-02-02
本文給大家介紹的是通過php-fpm實現(xiàn)性能優(yōu)化的配置方法以及注意事項，有需要的小伙伴可以參考下2016-03-03
騰訊微博提示missing parameter errorcode 102 錯誤的解決方法
這篇文章主要介紹了騰訊微博提示missing parameter errorcode 102 錯誤的解決方法,是針對騰訊微博接口開發(fā)中比較典型的錯誤問題,需要的朋友可以參考下2014-12-12