PHP-код безопасности?

Question

Если кто-нибудь может предложить секретные методы для php-кодирования? как сделать свой PHP-код безопаснее?

Спасибо

Answer 1

Это хороший вопрос, на него уже несколько раз отвечали ..

С чего начать

Книги и ресурсы

Дополнительные ресурсы

Answer 2

Никогда не доверяйте пользователю , и каждый проект имеет четко определенные потоки данных, в которых ввод от пользователя очищается как можно скорее (предпочтительно, до любого шанса на вывод)

Всегда используется какая-то форма PDO . (Другими словами, никогда не использующий сырой SQL). При попытке быстро исправить ошибки возникает ошибка.

Никогда не используйте переменные в include. Это может показаться простым решением, но обычно это грязное решение, которое позволяет пользователю запрашивать файлы, которые ему не следует.

[Salt] (http://en.wikipedia.org/wiki/Salt_(cryptography)) все пароли с уникальной солью, а затем их хэшировать, md5 () не является идеальной функцией для этого, поскольку имеет недостатки.

Answer 3

Следуйте этим ключевым пунктам:

• Все данные, поступающие от клиента, могут быть изменены, и входные данные должны быть санированы / проверены, прежде чем что-либо делать с ними (вставить в базу данных и т. Д.)
• Любые связанные с безопасностью алгоритмы должны быть реализованы на стороне сервера, это гарантирует, что алгоритм выполняется так, как вы хотите, каждый раз (в отличие от модифицируемого JavaScript)
• Хэширование пароля или любая другая форма шифрования или хэширования должны выполняться внутри вашего скрипта, а не с помощью других запросов клиент / сервер (IE: создавать хэши паролей перед отправкой их mysql DONT do 'INSERT INTO users VALUES ('1', 'jblow', md5 ('password')) ', так как этот запрос просматривается в журналах и администраторами сервера SQL
• И последнее, но не менее важное: НЕ ЛЕНИТЕ если для очистки входных данных потребуется немного больше времени, сделайте это, все, что нужно, - это один эксплойт, и ваше приложение, каким бы удивительным оно ни было, потеряет много его пользовательская база.