php給了開發者極大的靈活性，但是這也為安全問題帶來了潛在的隱患，PHP如何做好最基礎的安全防範呢？下面小編為大家解答一下，希望能幫到您！
當開發一個網際網路服務的時候，必須時刻牢記安全觀念，並在開發的程式碼中體現。PHP指令碼語言對安全問題並不關心，特別是對大多數沒有經驗的開發者來說。每當你講任何涉及到錢財事務等交易問題時，需要特別注意安全問題的考慮，例如開發一個論壇或者是一個購物車等。
安全保護一般性要點
不相信表單
對於一般的Javascript前臺驗證，由於無法得知使用者的行為，例如關閉了瀏覽器的javascript引擎，這樣通過POST惡意資料到伺服器。需要在伺服器端進行驗證，對每個php指令碼驗證傳遞到的資料，防止XSS攻擊和SQL注入。
不相信使用者
要假設你的網站接收的每一條資料都是存在惡意程式碼的，存在隱藏的威脅，要對每一條資料都進行清理
關閉全域性變數
在檔案中進行以下配置：
register_globals = Off
如果這個配置選項開啟之後，會出現很大的安全隱患。例如有一個的指令碼檔案，會將接收到的資料插入到資料庫，接收使用者輸入資料的表單可能如下：
< input name="username" type ="text" size = "15" maxlength = "64" >
這樣，當提交資料到之後，php會註冊一個$username變數，將這個變數資料提交到，同時對於任何POST或GET請求引數，都會設定這樣的變數。如果不是顯示進行初始化那麼就會出現下面的問題：
<?php
// Define $authorized = true only if user is authenticated
if
(authenticated_user()) {
$authorized = true;
}
?>
此處，假設authenticated_user函式就是判斷$authorized變數的值，如果開啟了register_globals配置，那麼任何使用者都可以傳送一個請求，來設定$authorized變數的值為任意值從而就能繞過這個驗證。所有的這些提交資料都應該通過PHP預定義內建的全域性陣列來獲取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一個$_GET/$_POST/$_COOKIE三個陣列的聯合變數，預設的順序是$_COOKIE、$_POST、$_GET。
推薦的安全配置選項
error_reporting設定為Off：不要暴露錯誤資訊給使用者，開發的時候可以設定為ON
safe_mode設定為Off
register_globals設定為Off
將以下函式禁用：system、exec、passthru、shell_exec、proc_open、popen
open_basedir設定為 /tmp ，這樣可以讓session資訊有儲存許可權，同時設定單獨的網站根目錄expose_php設定為Offallow_url_fopen設定為Offallow_url_include設定為Off
SQL注入攻擊
對於操作資料庫的SQL語句，需要特別注意安全性，因為使用者可能輸入特定語句使得原有的SQL語句改變了功能。類似下面的例子：
$sql ="select * from pinfo where product = '$product'";
此時如果使用者輸入的$product引數為：'39'; DROP pinfo; SELECT 'FOO
那麼最終SQL語句就變成了如下的樣子：
select product from pinfo where product = '39';
DROP pinfo;
SELECT 'FOO'
這樣就會變成三條SQL語句，會造成pinfo表被刪除，這樣會造成嚴重的後果。這個問題可以簡單的使用PHP的內建函式解決：
$sql = 'Select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';
防止SQL注入攻擊需要做好兩件事：對輸入的引數總是進行型別驗證對單引號、雙引號、反引號等特殊字元總是使用mysql_real_escape_string函式進行轉義但是，這裡根據開發經驗，不要開啟php的Magic Quotes，這個特性在php6中已經廢除，總是自己在需要的時候進行轉義。
防止基本的XSS攻擊
XSS攻擊不像其他攻擊，這種攻擊在客戶端進行，最基本的XSS工具就是防止一段javascript指令碼在使用者待提交的表單頁面，將使用者提交的資料和cookie偷取過來。XSS工具比SQL注入更加難以防護，各大公司網站都被XSS攻擊過，雖然這種攻擊與php語言無關，但可以使用php來篩選使用者資料達到保護使用者資料的目的，這裡主要使用的是對使用者的資料進行過濾，一般過濾掉HTML標籤，特別是a標籤。下面是一個普通的過濾方法：
function transform_HTML( $string , $length null) { // Helps prevent XSS attacks
// Remove dead space.
$string = trim( $string );
// Prevent potential Unicode codec problems.
$string = utf8_decode( $string );
// HTMLize HTML-specific characters.
$string = htmlentities( $string , ENT_NOQUOTES);
$string = str_replace ( "#" , "#" , $string );
$string = str_replace ( "%" , "%" , $string );
$length = intval ( $length );
if ( $length > 0) {
$string = substr ( $string , 0, $length );
}return $string ;
}
這個函式將HTML的特殊字元轉換為了HTML實體，瀏覽器在渲染這段文字的時候以純文字形式顯示。如bold會被顯示為：BoldText上述函式的核心就是htmlentities函式，這個函式將html特殊標籤轉換為html實體字元，這樣可以過濾大部分的XSS攻擊。但是對於有經驗的XSS攻擊者，有更加巧妙的辦法進行攻擊：將他們的惡意程式碼使用十六進位制或者utf-8編碼，而不是普通的ASCII文字，例如可以使用下面的方式進行：
這樣瀏覽器渲染的結果其實是：
< a href = "http://host/ >
< SCRIPT >Dosomethingmalicious
這樣就達到了攻擊的目的。為了防止這種情況，需要在transform_HTML函式的基礎上再將#和%轉換為他們對應的實體符號，同時加上了$length引數來限制提交的資料的最大長度。
使用SafeHTML防止XSS攻擊
上述關於XSS攻擊的防護非常簡單，但是不包含使用者的所有標記，同時有上百種繞過過濾函式提交javascript程式碼的方法，也沒有辦法能完全阻止這個情況。目前，沒有一個單一的指令碼能保證不被攻擊突破，但是總有相對來說防護程度更好的。一共有兩個安全防護的方式：白名單和黑名單。其中白名單更加簡單和有效。一種白名單解決方案就是SafeHTML，它足夠智慧能夠識別有效的HTML，然後就可以去除任何危險的標籤。這個需要基於HTMLSax包來進行解析。安裝使用SafeHTML的方法：
1、前往 下載最新的SafeHTML
2、將檔案放入伺服器的classes 目錄，這個目錄包含所有的SafeHTML和HTMLSax庫
3、在自己的指令碼中包含SafeHTML類檔案
4、建立一個SafeHTML物件
5、使用parse方法進行過濾
<?php/* If you're storing the in the /classes directory, along
with the script, define XML_HTMLSAX3 as a null string. */define(XML_HTMLSAX3, '' );// Include the class ire_once ( 'classes/' );
// Define some sample bad code.
$data = This data would raise an alert
" ;// Create a safehtml object.$safehtml = new safehtml();// Parse and sanitize the data.$safe_data = $safehtml ->parse( $data );// Display result. echo 'The sanitized data is ' . $safe_data ;
?>
SafeHTML並不能完全防止XSS攻擊，只是一個相對複雜的指令碼來檢驗的方式。
使用單向HASH加密方式來保護資料
單向hash加密保證對每個使用者的密碼都是唯一的，而且不能被破譯的，只有終端使用者知道密碼，系統也是不知道原始密碼的`。這樣的一個好處是在系統被攻擊後攻擊者也無法知道原始密碼資料。加密和Hash是不同的兩個過程。與加密不同，Hash是無法被解密的，是單向的；同時兩個不同的字串可能會得到同一個hash值，並不能保證hash值的唯一性。MD5函式處理過的hash值基本不能被破解，但是總是有可能性的，而且網上也有MD5的hash字典。
使用mcrypt加密資料MD5 hash函式可以在可讀的表單中顯示資料，但是對於儲存使用者的信用卡資訊的時候，需要進行加密處理後儲存，並且需要之後進行解密。最好的方法是使用mcrypt模組，這個模組包含了超過30中加密方式來保證只有加密者才能解密資料。
<?php$data = "Stuff you want encrypted" ;
$key = "Secret passphrase used to encrypt your data" ;
$cipher = "MCRYPT_SERPENT_256" $mode = "MCRYPT_MODE_CBC" ;function encrypt( $data, $key , cipher , $mode ) {// Encrypt datareturn (string) base64_encode ( mcrypt_encrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), $data , $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) ) );
}function decrypt( $data , $key ,$cipher , $mode ) {// Decrypt data
return (string) mcrypt_decrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), base64_decode ( $data ), $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) );
}?>
mcrypt函式需要以下資訊：
1、待加密資料
2、用來加密和解密資料的key
3、使用者選擇的加密資料的特定演算法（cipher：
如 MCRYPT_TWOFISH192
,MCRYPT_SERPENT_256， MCRYPT_RC2
, MCRYPT_DES
, and MCRYPT_LOKI97
）
4、用來加密的模式
5、加密的種子，用來起始加密過程的資料，是一個額外的二進位制資料用來初始化加密演算法
6、加密key和種子的長度，使用mcrypt_get_key_size函式和mcrypt_get_block_size函式可以獲取如果資料和key都被盜取，那麼攻擊者可以遍歷ciphers尋找開行的方式即可，因此我們需要將加密的key進行MD5一次後保證安全性。同時由於mcrypt函式返回的加密資料是一個二進位制資料，這樣儲存到資料庫欄位中會引起其他錯誤，使用了base64encode將這些資料轉換為了十六進位制數方便儲存。
