此帖子分为几部份，每部份会涵盖差别的平安要挟和应对战略。然则，这并不是说你做到这几点今后，就一定能防备你的网站涌现任何问题。如果你想进步你的网站平安性的话，你应当继承经由历程阅读书本或许文章，来研讨怎样进步你的网站平安性
出于演示须要，代码大概不是很圆满。一样平常开发历程当中，许多代码都包含在了框架跟种种库内里。作为一个背景开发，你不仅要闇练基本的 CURD，更要晓得怎样庇护你的数据。
1. SQL 注入
我赌一包辣条，你肯定会看到这里。 SQL 注入是对您网站最大的要挟之一，如果您的数据库遭到他人的 SQL 注入的进击的话，他人能够转出你的数据库，或许还会发作更严峻的效果。
网站要从数据库中猎取动态数据，就必需实行 SQL 语句，举例以下：
<?php $username = $_GET['username']; $query = "SELECT * FROM users WHERE username = '$username'";
进击者掌握经由历程 GET 和 POST 发送的查询（或许比方 UA 的一些其他查询）。平常状况下，你愿望查询户名为「 peter 」的用户发作的 SQL 语句以下：
SELECT * FROM users WHERE username = 'peter'
然则，进击者发送了特定的用户名参数，比方：' OR '1'='1
这就会致使 SQL 语句变成如许：
SELECT * FROM users WHERE username = 'peter' OR '1' = '1'
如许，他就可以在不须要暗码的状况下导出你的全部用户表的数据了。
那末，我们怎样防备这类变乱的发作呢？主流的解决要领有两种。转义用户输入的数据或许运用封装好的语句。转义的要领是封装好一个函数，用来对用户提交的数据举行过滤，去掉有害的标签。然则，我不太引荐运用这个要领，因为比较轻易遗忘在每一个处所都做此处置惩罚。
下面，我来引见怎样运用 PDO 实行封装好的语句（ mysqi 也一样）：
$username = $_GET['username'];
$query = $pdo->prepare('SELECT * FROM users WHERE username = :username');
$query->execute(['username' => $username]);
$data = $query->fetch();
动态数据的每一个部份都以：做前缀。然后将一切参数作为数组通报给实行函数，看起来就像 PDO 为你转义了有害数据一样。
险些一切的数据库驱动程序都支撑封装好的语句，没有来由不运用它们！养成运用他们的习气，今后就不会遗忘了。
你也能够参考 phpdelusions 中的一篇关于动态构建 SQL 查询时处置惩罚平安问题的文章。链接：
https://phpdelusions.net/pdo/sql_injection_example
2. XSS
XSS 又叫 CSS (Cross Site Script) ，跨站剧本进击。它指的是歹意进击者往 Web 页面里插进去歹意 html 代码，当用户阅读该页之时，嵌入个中 Web 内里的 html 代码会被实行，从而到达歹意进击用户的特别目的。
下面以一个搜刮页面为例子：
<body> <?php $searchQuery = $_GET['q']; /* some search magic here */ ?> <h1>You searched for: <?php echo $searchQuery; ?></h1> <p>We found: Absolutely nothing because this is a demo</p> </body>
因为我们把用户的内容直接打印出来，不经由任何过滤，不法用户能够拼接 URL：
search.php?q=%3Cscript%3Ealert(1)%3B%3C%2Fscript%3E
PHP 衬着出来的内容以下，能够看到 Javascript 代码会被直接实行：
<body> <h1>You searched for: <script>alert(1);</script></h1> <p>We found: Absolutely nothing because this is a demo</p> </body>
问：JS 代码被实行有什么大不了的？
Javascript 能够:
● 偷走你用户阅读器里的 Cookie；
● 经由历程阅读器的记着暗码功用猎取到你的站点登录账号和暗码；
● 偷取用户的秘要信息；
● 你的用户在站点上能做到的事变，有了 JS 权限实行权限就都能做，也就是说 A 用户能够模仿成为任何用户；
● 在你的网页中嵌入歹意代码；
...
问：怎样提防此问题呢？
好音讯是比较先进的阅读器如今已具有了一些基本的 XSS 提防功用，不过请不要依靠与此。
准确的做法是坚定不要置信用户的任何输入，并过滤掉输入中的一切特别字符。如许就可以祛除绝大部份的 XSS 进击：
<?php $searchQuery = htmlentities($searchQuery, ENT_QUOTES);
或许你能够运用模板引擎 Twig ，平常的模板引擎都邑默以为输出加上 htmlentities 提防。
如果你坚持了用户的输入内容，在输出时也要特别注意，在以下的例子中，我们许可用户填写本身的博客链接：
<body> <a href="<?php echo $homepageUrl; ?>">Visit Users homepage</a> </body>
以上代码大概第一眼看不出来有问题，然则假定用户填入以下内容：
#" onclick="alert(1)
会被衬着为：
<body> <a href="#" onclick="alert(1)">Visit Users homepage</a> </body>
永久永久不要置信用户输入的数据，或许，永久都假定用户的内容是有进击性的，态度端正了，然后警惕地处置惩罚好每一次的用户输入和输出。
另一个掌握 XSS 进击的要领是供应一个 CSP Meta 标签，或许标头信息，更多概况请见：
https://phpdelusions.net/pdo/sql_injection_example
别的设置 Cookie 时，如果无需 JS 读取的话，请必需设置为 "HTTP ONLY"。这个设置能够令 JavaScript 没法读取 PHP 端种的 Cookie。
3. XSRF/CSRF
CSRF 是跨站要求捏造的缩写，它是进击者经由历程一些技术手腕诳骗用户去接见曾认证过的网站并运转一些操纵。
虽然此处展现的例子是 GET 要求，但只是相较于 POST 更轻易明白，并不是防护手腕，二者都不是私密的 Cookies 或许多步表单。
如果你有一个许可用户删除账户的页面，以下所示：
<?php
//delete-account.php
$confirm = $_GET['confirm'];
if($confirm === 'yes') {
//goodbye
}
进击者能够在他的站点上构建一个触发这个 URL 的表单（一样适用于 POST 的表单），或许将 URL 加载为图片引诱用户点击：
<img src="https://example.com/delete-account.php?confirm=yes" />
用户一旦触发，就会实行删除账户的指令，眨眼你的账户就消逝了。
防备如许的进击比防备 XSS 与 SQL 注入更庞杂一些。
最常常使用的防备要领是生成一个 CSRF 令牌加密平安字符串，平常称其为 Token，并将 Token 存储于 Cookie 或许 Session 中。
每次你在网页组织表单时，将 Token 令牌放在表单中的隐蔽字段，表单要求服务器今后会依据用户的 Cookie 或许 Session 里的 Token 令牌比对，校验胜利才赋予经由历程。
因为进击者没法晓得 Token 令牌的内容（每一个表单的 Token 令牌都是随机的），因而没法假装用户。
<?php /* 你嵌入表单的页面 */ ?>
<form action="/delete-account.php" method="post">
<input type="hidden" name="csrf" value="<?php echo $_SESSION['csrf']; ?>">
<input type="hidden" name="confirm" value="yes" />
<input type="submit" value="Delete my account" />
</form>
##
<?php
//delete-account.php
$confirm = $_POST['confirm'];
$csrf = $_POST['csrf'];
$knownGoodToken = $_SESSION['csrf'];
if($csrf !== $knownGoodToken) {
die('Invalid request');
}
if($confirm === 'yes') {
//goodbye
}
请注意，这是个异常简朴的示例，你能够到场更多的代码。如果你运用的是像 Symfony 如许的 PHP 框架，那末自带了 CSRF 令牌的功用。
你还能够检察关于 OWASP 更细致的问题和更多防备机制的文章：
https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Cross-Site_Request_Forgery_Prevention_Cheat_Sheet.md
4. LFI
LFI （当地文件包含） 是一个用户未经考证从磁盘读取文件的破绽。
我常常碰到编程不范例的路由代码示例，它们不考证过滤用户的输入。我们用以下文件为例，将它要衬着的模板文件用 GET 要求加载。
<body>
<?php
$page = $_GET['page'];
if(!$page) {
$page = 'main.php';
}
include($page);
?>
</body>
因为 Include 能够加载任何文件，不仅仅是 PHP，进击者能够将体系上的任何文件作为包含目的通报。
index.php?page=../../etc/passwd
这将致使 /etc/passwd 文件被读取并展现在阅读器上。
要防备此类进击，你必需细致斟酌许可用户输入的范例，并删除大概有害的字符，如输入字符中的 “.” “/” “\”。
如果你真的想运用像如许的路由体系（我不发起以任何体式格局），你能够自动附加 PHP 扩大，删除任何非 [a-zA-Z0-9-_] 的字符，并指定从专用的模板文件夹中加载，以避免被包含任何非模板文件。
我在差别的开发文档中，屡次看到形成此类破绽的 PHP 代码。从一入手下手就要有清楚的设想思绪，许可所须要包含的文件范例，并删撤除过剩的内容。你还能够组织要读取文件的绝对路径，并考证文件是不是存在来作为庇护，而不是任何位置都赋予读取。
5. 不充分的暗码哈希
大部份的 Web 运用须要保留用户的认证信息。如果暗码哈希做的充足好，在你的网站被攻破时，即可庇护用户的暗码不被不法读取。
起首，最不该当做的事变，就是把用户暗码明文贮存起来。大部份的用户会在多个网站上运用同一个暗码，这是不可转变的现实。当你的网站被攻破，意味着用户的其他网站的账号也被攻破了。
其次，你不该当运用简朴的哈希算法，现实上一切没有特地为暗码哈希优化的算法都不该运用。哈希算法如 MD5 或许 SHA 设想初志就是实行起来异常快。这不是你须要的，暗码哈希的终极目的就是让黑客消费无穷尽的时候和精神都没法破解出来暗码。
别的一个比较主要的点是你应当为暗码哈希加盐（Salt），加盐处置惩罚防备了两个一样的暗码会发作一样哈希的问题。
以下运用 MD5 来做例子，所以请万万不要运用 MD5 来哈希你的暗码， MD5 是不平安的。
如果我们的用户 user1 和 user315 都有雷同的暗码 ilovecats123，这个暗码虽然看起来是强暗码，有字母有数字，然则在数据库里，两个用户的暗码哈希数据将会是雷同的：5e2b4d823db9d044ecd5e084b6d33ea5 。
如果一个如果黑客拿下了你的网站，猎取到了这些哈希数据，他将不须要去暴力破解用户 user315 的暗码。我们要只管让他花大精神来破解你的暗码，所以我们对数据举行加盐处置惩罚：
<?php //warning: !!这是一个很不平安的暗码哈希例子，请不要运用!! $password = 'cat123'; $salt = random_bytes(20); $hash = md5($password . $salt);
末了在保留你的唯一暗码哈希数据时，请不要遗忘连 $salt 也已保留，不然你将没法考证用户。
在当下，最好的暗码哈希选项是 bcrypt，这是特地为哈希暗码而设想的哈希算法，同时这套哈希算法里还许可你设置一些参数来加大破解的难度。
新版的 PHP 中也自带了平安的暗码哈希函数 password_hash ，此函数已包含了加盐处置惩罚。对应的暗码考证函数为 password_verify 用来检测暗码是不是准确。password_verify 还可有用防备 时序进击.
以下是运用的例子：
<?php
//user signup
$password = $_POST['password'];
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);
//login
$password = $_POST['password'];
$hash = '1234'; //load this value from your db
if(password_verify($password, $hash)) {
echo 'Password is valid!';
} else {
echo 'Invalid password.';
}
须要廓清的一点是：暗码哈希并不是暗码加密。哈希（Hash）是将目的文本转换成具有雷同长度的、不可逆的杂凑字符串（或叫做音讯择要），而加密（Encrypt）是将目的文本转换成具有差别长度的、可逆的密文。显著他们之间最大的区别是可逆性，在贮存暗码时，我们要的就是哈希这类不可逆的属性。
6. 中间人进击
MITM （中间人） 进击不是针对服务器直接进击，而是针对用户举行，进击者作为中间人诳骗服务器他是用户，诳骗用户他是服务器，从而来阻拦用户与网站的流量，并从中注入歹意内容或许读取私密信息，一般发作在大众 WiFi 收集中，也有大概发作在其他流量经由历程的处所，比方 ISP 运营商。
对此的唯一防备是运用 HTTPS，运用 HTTPS 能够将你的衔接加密，而且没法读取或许改动流量。你能够从 Let's Encrypt 猎取免费的 SSL 证书，或从其他供应商处购置，这里不细致引见怎样准确设置 WEB 服务器，因为这与运用程序平安性无关，且在很大程度上取决于你的设置。
你还能够采纳一些步伐使 HTTPS 更平安，在 WEB 服务器设置加上 Strict-Transport-Security 标示头，此头部信息关照阅读器，你的网站一直经由历程 HTTPS 接见，如果未经由历程 HTTPS 将返回毛病报告提醒阅读器不该显现该页面。
但是，这里有个显著的问题，如果阅读器之前从未接见过你的网站，则没法晓得你运用此标示头，这时候就须要用到 Hstspreload。
能够在此注册你的网站:
https://hstspreload.org/
你在此处提交的一切网站都将被标记为仅 HTTPS，并硬编码到 Google Chrome、FireFox、Opera、Safari、IE11 和 Edge 的源代码中。
你还能够在 DNS 设置中增加 Certification Authority Authorization (CAA) record ，能够仅许可一个证书颁布机构（比方： Let's encrypt）宣布你的域名证书，这进一步进步了用户的平安性。
7. 敕令注入
这多是服务器碰到的最严峻的进击，敕令注入的目的是诳骗服务器实行恣意 Shell 敕令
你如果运用 shell_exec 或是 exec 函数。让我们做一个小例子，许可用户简朴的从服务器 Ping 差别的主机。
<?php
$targetIp = $_GET['ip'];
$output = shell_exec("ping -c 5 $targetIp");
输出将包含对目的主机 Ping 5 次。除非采纳 sh 敕令实行 Shell 剧本，不然进击者能够实行想要的任何操纵。
ping.php?ip=8.8.8.8;ls -l /etc
Shell 将实行 Ping 和由进击者拼接的第二个敕令，这显著是异常风险的。
谢谢 PHP 供应了一个函数来转义 Shell 参数。
escapeshellarg 转义用户的输入并将其封装成单引号。
<?php
$targetIp = escapeshellarg($_GET['ip']);
$output = shell_exec("ping -c 5 $targetIp");
如今你的敕令应当是相称平安的，就个人而言，我依然防备运用 PHP 挪用外部敕令，但这完整取决于你本身的喜欢。
别的，我发起进一步考证用户输入是不是相符你希冀的情势。
8. XXE
XXE （XML 外部实体） 是一种运用程序运用设置不准确的 XML 剖析器剖析外部 XML 时，致使的当地文件包含进击，以至能够长途代码实行。
XML 有一个不为人知的特征，它许可文档作者将长途和当地文件作为实体包含在其 XML 文件中。
<?xml version="1.0" encoding="ISO-8859-1"?> <!DOCTYPE foo [ <!ELEMENT foo ANY > <!ENTITY passwd SYSTEM "file:///etc/passwd" >]> <foo>&passwd;</foo>
就像如许， /etc/passwd 文件内容被转储到 XML 文件中。
如果你运用 libxml 能够挪用 libxml_disable_entity_loader 来庇护本身免受此类进击。运用前请细致搜检 XML 库的默许设置，以确保设置胜利。
9. 在生产环境中不准确的毛病报告暴露敏感数据
如果你不警惕，大概会在生产环境中因为不准确的毛病报告泄漏了敏感信息，比方：文件夹构造、数据库构造、衔接信息与用户信息。
你是不愿望用户看到这个的吧？
平常依据你运用的框架或许 CMS ，设置要领会有差别的变化。一般框架具有许可你将站点更改成某种生产环境的设置。如许会将一切用户可见的毛病音讯重定向到日记文件中，并向用户显现非描述性的 500 毛病，同时许可你依据毛病代码搜检。
然则你应当依据你的 PHP 环境设置： error_reporting 与 display_errors.
10. 登录限定
像登录如许的敏感表单应当有一个严厉的速度限定，以防备暴力进击。保留每一个用户在过去几分钟内失利的登录尝试次数，如果该速度凌驾你定义的阈值，则谢绝进一步登录尝试，直到冷却期完毕。还可经由历程电子邮件关照用户登录失利，以便他们晓得本身的账户被成为目的。
一些其他补充
● 不要信托从用户通报给你的对象 ID ，一直考证用户对要求对象的接见权限
● 服务器与运用的库时候坚持最新
● 定阅关注平安相干的博客，相识最新的解决方案
● 从不在日记中保留用户的暗码
● 不要将全部代码库存储在 WEB 根目次中
● 永久不要在 WEB 根目次建立 Git 存储库，除非你愿望泄漏全部代码库
● 一直假定用户的输入是不平安的
● 设置体系制止可疑行动的 IP 显现，比方：东西对 URL 随机扫描、爬虫
● 不要太过信托第三方代码是平安的
● 不要用 Composer 直接从 Github 猎取代码
● 如果不愿望站点被第三方跨域 iframe，请设置反 iframe 标示头
● 暧昧是不平安的
● 如果你是缺少实践经验的运营商或协作开发人员，请确保只管经常搜检代码
● 当你不相识平安功用应当怎样事情，或许为何会装置，请讯问晓得的人，不要无视它
● 永久不要本身写加密体式格局，这多是个坏的要领
● 如果你没有充足的熵，请准确播种你的伪随机数生成并舍弃
● 如果在互联网上不平安，并有大概被窃取信息，请为这类状况做好预备并制订事宜相应设计
● 禁用 WEB 根目次列表显现，许多 WEB 服务器设置默许都邑列出目次内容，这大概致使数据泄漏
● 客户端考证是不够的，须要再次考证 PHP 中的一切内容
● 不惜一切代价防备反序列化用户内容，这大概致使长途代码实行，有关此问题的细致信息，请参阅此文章：
https://paragonie.com/blog/2016/04/securely-implementing-de-serialization-in-php
小贴士
我不是一个平安专家，恐没法做到事无巨细。只管编写平安软件是一个异常痛楚的历程，但照样能够经由历程遵照一些基本划定规矩，编写合理平安的运用程序。实在，许多框架在这方面也帮我们做了许多事情。
在问题发作之前，平安性问题并不像语法毛病等能够在开发阶段追踪到。因而，在编写代码的历程当中，应当时候有躲避平安风险的认识。如果你迫于营业需求的压力而不能不临时疏忽一些平安提防的事情，我想你有必要事前示知人人如许做的潜伏风险。
如果你从这篇文章有所收益，也请把它分享给你的朋友们把，让我们共建平安网站。
以上就是10 个 PHP 罕见平安问题（实例解说）的细致内容，更多请关注ki4网别的相干文章！
