ThinkPHP8安全配置

ThinkPHP 8 在安全性方面提供了多维度的配置选项，可帮助开发者构建安全可靠的应用程序，以下是 ThinkPHP 8 中一些常见的安全相关配置：

1. 应用密钥配置

应用密钥用于加密会话、Cookie 等敏感数据，在 .env 文件中进行配置。

APP_KEY=base64:your_random_generated_key

• 作用：保障会话和 Cookie 数据在传输和存储过程中的安全性，防止数据被篡改或伪造。
• 生成方法：可以使用命令 php think encrypt:key 来生成一个安全的密钥。

2. 会话配置

会话配置主要在 config/session.php 文件中进行设置。

return [
    // 驱动方式
    'type'            => 'file',
    // 会话ID的cookie名称
    'name'            => 'thinkphp',
    // 过期时间
    'expire'          => 1800,
    // 数据加密
    'encrypt'         => false,
];

• type：指定会话的存储驱动，如 file（文件存储）、redis（Redis 存储）等。
• encrypt：设置为 true 时，会话数据将被加密存储，增强数据安全性。

3. Cookie 配置

Cookie 配置位于 config/cookie.php 文件。

return [
    // cookie 名称前缀
    'prefix'    => '',
    // cookie 保存时间
    'expire'    => 0,
    // cookie 保存路径
    'path'      => '/',
    // cookie 有效域名
    'domain'    => '',
    // 启用安全传输
    'secure'    => false,
    // httponly设置
    'httponly'  => false,
    // 是否使用 setcookie
    'setcookie' => true,
];

• secure：设置为 true 时，Cookie 只会通过 HTTPS 连接传输，防止数据在 HTTP 连接中被窃取。
• httponly：设置为 true 时，JavaScript 无法访问 Cookie，可有效防止跨站脚本攻击（XSS）。

4. 输入过滤配置

ThinkPHP 8 提供了全局的输入过滤功能，可在 config/app.php 文件中配置。

return [
    // 默认全局过滤方法 用逗号分隔多个
    'default_filter' => 'trim,strip_tags,htmlspecialchars',
];

• default_filter：指定全局的输入过滤方法，对所有输入数据进行过滤，防止 SQL 注入、XSS 攻击等。

5. CSRF 保护配置

CSRF（跨站请求伪造）保护配置在 config/csrf.php 文件中。

return [
    // 是否开启 CSRF 验证
    'enable'         => true,
    // CSRF 验证的请求类型
    'methods'        => ['POST', 'PUT', 'DELETE'],
    // CSRF 令牌的表单字段名
    'token_name'     => '__token__',
    // CSRF 令牌的 Cookie 名称
    'cookie_name'    => 'csrf_token',
];

• enable：设置为 true 时，开启 CSRF 验证功能。
• methods：指定需要进行 CSRF 验证的请求类型。

6. 错误显示配置

在 config/app.php 文件中，可以配置错误显示方式。

return [
    // 应用调试模式
    'app_debug'              => false,
    // 异常页面的模板文件
    'exception_tmpl'         => app()->getThinkPath() . 'tpl/think_exception.tpl',
];

• app_debug：设置为 false 时，生产环境下不显示详细的错误信息，防止敏感信息泄露。

7. 数据库安全配置

在 config/database.php 文件中，可配置数据库连接信息。

return [
    // 默认使用的数据库连接配置
    'default'         => env('database.driver', 'mysql'),
    // 数据库连接配置信息
    'connections'     => [
        'mysql' => [
            // 数据库类型
            'type'            => 'mysql',
            // 服务器地址
            'hostname'        => '127.0.0.1',
            // 数据库名
            'database'        => 'test',
            // 用户名
            'username'        => 'root',
            // 密码
            'password'        => 'root',
            // 数据库编码默认采用utf8
            'charset'         => 'utf8mb4',
            // 数据库表前缀
            'prefix'          => '',
            // 是否严格检查字段是否存在
            'fields_strict'   => true,
        ],
    ],
];

• fields_strict：设置为 true 时，严格检查 SQL 查询中的字段是否存在，防止 SQL 注入。