增強(qiáng)PHP程序安全的函數(shù)

本文格式為Word版，下載可任意編輯——增強(qiáng)PHP程序安全的函數(shù)安好是編程分外重要的一個(gè)方面。在任何一種編程語(yǔ)言中，都供給了大量的函數(shù)或者模塊來(lái)確保程序的安好性。在現(xiàn)代網(wǎng)站應(yīng)用中，經(jīng)常要獲取來(lái)自世界各地用戶的輸入，但是，我們都知道“永遠(yuǎn)不能相信那些用戶輸入的數(shù)據(jù)”。所以在各種的Web開(kāi)發(fā)語(yǔ)言中，都會(huì)供給保證用戶輸入數(shù)據(jù)安好的函數(shù)。以下僅供參考！

在PHP中，有些很有用的函數(shù)開(kāi)源分外便當(dāng)?shù)姆乐鼓愕木W(wǎng)站遭遇各種攻擊，例如SQL注入攻擊，XSS（CrossSiteScripting：跨站腳本）攻擊等。一起看看PHP中常用的、可以確保工程安好的函數(shù)。留神，這并不是完整的列表，是我覺(jué)得對(duì)于你的i工程很有的一些函數(shù)。

1.mysql_real_escape_string

這個(gè)函數(shù)在PHP中防止SQL注入攻擊時(shí)分外有用。這個(gè)函數(shù)會(huì)對(duì)一些例如單引號(hào)、雙引號(hào)、反斜杠等特殊字符添加一個(gè)反斜杠以確保在查詢這些數(shù)據(jù)之前，用戶供給的輸入是明凈的。但要留神，你是在連接數(shù)據(jù)庫(kù)的前提下使用這個(gè)函數(shù)。

但是現(xiàn)在已經(jīng)不推舉使用mysql_real_escape_string了，全體新的應(yīng)用理應(yīng)使用像PDO一樣的函數(shù)庫(kù)執(zhí)行數(shù)據(jù)庫(kù)操作，也就是說(shuō)，我們可以使用現(xiàn)成的語(yǔ)句防止SQL注入攻擊。

2.addslashes

這個(gè)函數(shù)的原理跟mysql_real_escape_string好像。但是當(dāng)在php.ini文件中，“magic_quotes_gpc“的值是“on”的時(shí)候，就不要使用這個(gè)函數(shù)。magic_quotes_gpc的默認(rèn)值是on，對(duì)全體的GET、POST和COOKIE數(shù)據(jù)自動(dòng)運(yùn)行addslashes。不要對(duì)已經(jīng)被magic_quotes_gpc轉(zhuǎn)義過(guò)的字符串使用addslashes，由于這樣會(huì)導(dǎo)致雙層轉(zhuǎn)義。你可以使用get_magic_quotes_gpc函數(shù)來(lái)確定它是否開(kāi)啟。

3.htmlentities

這個(gè)函數(shù)對(duì)于過(guò)濾用戶輸入的數(shù)據(jù)分外有用。它會(huì)將一些特殊字符轉(zhuǎn)換為HTML實(shí)體。例如，用戶輸入時(shí)，就會(huì)被該函數(shù)轉(zhuǎn)化為HTML實(shí)體（），輸入就被轉(zhuǎn)為實(shí)體gt.HTML實(shí)體對(duì)照表：http://./html/html_entities.asp，可以防止XSS和SQL注入攻擊。

4.htmlspecialchars

在HTML中，一些特定字符有特殊的含義，假設(shè)要保持字符原來(lái)的含義，就理應(yīng)轉(zhuǎn)換為HTML實(shí)體。這個(gè)函數(shù)會(huì)返回轉(zhuǎn)換后的字符串，例如‘’ampersand轉(zhuǎn)為’amp‘（ps:請(qǐng)參照第三點(diǎn)中的實(shí)體對(duì)照表鏈接）

ps:此處原文有誤（見(jiàn)評(píng)論），在此分外感謝瑾瑜提出?，F(xiàn)已更正，另外附上此函數(shù)常見(jiàn)的轉(zhuǎn)換字符：

Thetranslationsperformedare:

‘’ampersandbecomes‘’

‘”‘doublequotebecomes‘’whenENT_NOQUOTESisnotset.

“‘”singlequotebecomes‘’orapos;onlywhenENT_QUOTESisset.

‘’lessthanbecomes‘’

‘’greaterthanbecomes‘’

5.strip_tags

這個(gè)函數(shù)可以去除字符串中全體的HTML，JavaScript和PHP標(biāo)簽，當(dāng)然你也可以通過(guò)設(shè)置該函數(shù)的其次個(gè)參數(shù)，讓一些特定的標(biāo)簽展現(xiàn)。

6.md5

從安好的角度來(lái)說(shuō)，一些開(kāi)發(fā)者在數(shù)據(jù)庫(kù)中存儲(chǔ)簡(jiǎn)樸的密碼的行為并不值得推舉。md5函數(shù)可以產(chǎn)生給定字符串的32個(gè)字符的md5散列，而且這個(gè)過(guò)程不成逆，即你不能從md5的結(jié)果得到原始字符串。

現(xiàn)在這個(gè)函數(shù)并不被認(rèn)為是安好的，由于開(kāi)源的數(shù)據(jù)庫(kù)可以反向檢查一個(gè)散列值的明文。你可以在這里找到一個(gè)MD5散列數(shù)據(jù)庫(kù)列表

7.sha1

這個(gè)函數(shù)與md5類似，但是它使用了不同的算法來(lái)產(chǎn)生40個(gè)字符的SHA-1散列（md5產(chǎn)生的是32個(gè)字符的散列）。也不要把十足安好寄托在這個(gè)函數(shù)上，否那么會(huì)有意想不到的結(jié)果。