php接口开发不是一件简单问题,网络上充斥着多种病毒和陷阱,这时就可能会遇到一些安全问题。那么,php接口开发 要注意的安全问题是什么呢?不少人想要知道这方面的知识,下面让一品威客网小编来给大家详细介绍一番。
规则 1:禁用那些使安全性难以实施的PHP设置
已经知道了不能信任用户输入,还应该知道不应该信任机器上配置 PHP 的方式。例如,要确保禁用 register_globals。如果启用了 register_globals,就可能做一些粗心的事情,比如使用 $variable 替换同名的 GET 或 POST 字符串。通过禁用这个设置,PHP 强迫您在正确的名称空间中引用正确的变量。要使用来自表单 POST 的变量,应该引用 $_POST['variable']。这样就不会将这个特定变量误会成 cookie、会话或 GET 变量。
规则 2:绝不要信任外部数据或输入
关于Web应用程序安全性,必须认识到的第一件事是不应该信任外部数据。外部数据(outside data) 包括不是由程序员在PHP代码中直接输入的任何数据。在采取措施确保安全之前,来自任何其他来源(比如 GET 变量、表单 POST、数据库、配置文件、会话变量或Cookie)的任何数据都是不可信任的。
例如,下面的数据元素可以被认为是安全的,因为它们是在PHP中设置的。
清单 1. 安全无暇的代码
复制代码 代码如下:
$myUsername = ‘tmyer';
$arrayarrayUsers = array(‘tmyer', ‘tom', ‘tommy');
define(“GREETING”, ‘Hello there' . $myUsername);
清单 2. 不安全、有瑕疵的代码
复制代码 代码如下:
$myUsername = $_POST['username']; //tainted!
$arrayarrayUsers = array($myUsername, ‘tom', ‘tommy'); //tainted!
define(“GREETING”, ‘hello there' . $myUsername); //tainted!
为什么第一个变量$myUsername 是有瑕疵的?因为它直接来自表单 POST。用户可以在这个输入域中输入任何字符串,包括用来清除文件或运行以前上传的文件的恶意命令。您可能会问,“难道不能使用只接受字母 A-Z 的客户端(Javascrīpt)表单检验脚本来避免这种危险吗?”是的,这总是一个有好处的步骤,但是正如在后面会看到的,任何人都可以将任何表单下载到自己的机器上,修改它,然后重新提交他们需要的任何内容。
解决方案很简单:必须对$_POST['username'] 运行清理代码。如果不这么做,那么在使用$myUsername的任何其他时候(比如在数组或常量中),就可能污染这些对象。对用户输入进行清理的一个简单方法是,使用正则表达式来处理它。在这个示例中,只希望接受字母。将字符串限制为特定数量的字符,或者要求所有字母都是小写的,这可能也是个好主意。
清单 3. 使用户输入变得安全
复制代码 代码如下:
$myUsername = cleanInput($_POST['username']); //clean!
$arrayarrayUsers = array($myUsername, ‘tom', ‘tommy'); //clean!
define(“GREETING”, ‘hello there' . $myUsername); //clean!
function cleanInput($input){ $clean = strtolower($input);
$clean = preg_replace(“/[^a-z]/”, “”, $clean);
$clean = substr($clean,0,12);return $clean;
}
规则 3:如果不能理解它,就不能保护它
一些开发人员使用奇怪的语法,或者将语句组织得很紧凑,形成简短但是含义模糊的代码。这种方式可能效率高,但是如果您不理解代码正在做什么,那么就无法决定如何保护它。例如,您喜欢下面两段代码中的哪一段?
清单 4. 使代码容易得到保护
复制代码 代码如下:
//obfuscated code
$input = (isset($_POST['username']) ? $_POST['username']:”);
//unobfuscated code
$input = ”;
if (isset($_POST['username'])){
$input = $_POST['username'];
}else{
$input = ”;
}
php接口开发 要注意的安全问题就是这些,需要进行php接口开发的话可以多结合考虑这些知识,帮助自己更好的完善php接口开发内容。无论供接口开发、支付接口开发还是需要php接口开发,一品威客网上都有优秀的接口开发设计威客给你提供各种方案。
交易额: 186.79万元
无 |河南省 |洛阳市 |洛龙区
交易额: 151.77万元
无 |浙江省 |台州市 |玉环县
交易额: 110.67万元
工作室 |浙江省 |温州市 |瓯海区
交易额: 101.38万元
公司 |广东省 |东莞市 |东莞市
成为一品威客服务商,百万订单等您来有奖注册中
价格是多少?怎样找到合适的人才?
¥20000 已有1人投标
¥3000 已有0人投标
¥3000 已有0人投标
¥3000 已有1人投标
¥100 已有0人投标
¥1000 已有5人投标
¥5000 已有0人投标
¥20000 已有2人投标