PHP安全配置记录和常见错误梳理(总结)

为什么需要安全配置

PHP是一种服务器端脚本语言，广泛使用于Web开发领域。但是，由于其灵活的语法和动态的特性，也容易导致一些安全问题。不恰当的PHP配置会导致服务器被黑客入侵或被攻击者利用来进行远程执行任意代码等攻击。因此，保护PHP应用程序的安全是非常重要的。

PHP安全配置记录

1. 禁用不必要的PHP函数

PHP中提供了大量的函数，例如eval()、system()、shell_exec()、exec()等，这些函数可以执行系统指令或者将字符串作为代码运行。然而，这些函数也很危险，可能会被恶意利用。因此，在生产环境中应该禁用不必要的PHP函数，只启用必要且安全的函数。

示例：

disable_functions = "system,exec,shell_exec,passthru"

2. 设置PHP文件上传限制

PHP在用户上传文件时，可以设置上传文件的大小、类型等限制。这是非常重要的，因为上传的文件可能包含有害的代码或者病毒。因此，开发人员应该限制文件大小和类型，并对上传的文件进行安全检测，以确保上传的文件是安全的。

示例：

upload_max_filesize = 2M
post_max_size = 3M
file_uploads = On

3. 禁用magic_quotes_gpc

magic_quotes_gpc是一个非常容易被攻击者利用的PHP选项。它将所有的引号自动转义，即使在不需要转义时也会发生。这也会导致代码中出现SQL注入漏洞。因此，在生产环境中，应该禁用magic_quotes_gpc。

示例：

magic_quotes_gpc = Off

4. 对敏感数据进行防CSRF处理

CSRF攻击是一种跨站攻击，攻击者利用用户在另一个网站的身份来执行恶意操作。为了防止这种攻击，我们需要使用防CSRF的机制，例如添加token、验证referer等多种方式。

常见PHP安全错误梳理

1. SQL注入

在PHP应用程序中，如果不适当地过滤用户输入，就可能导致SQL注入攻击。攻击者可以通过SQL注入攻击来操作数据库，例如注入恶意代码、删除数据等。

示例：

// 普通SQL查询
$uname = $_POST['user'];
$pass = $_POST['password'];
$sql = "SELECT * FROM users WHERE username='$uname' AND password='$pass' ";
$result = mysqli_query($sql);

// 防SQL注入的查询
$uname = mysqli_real_escape_string($_POST['user']);
$pass = mysqli_real_escape_string($_POST['password']);
$sql = "SELECT * FROM users WHERE username='$uname' AND password='$pass' ";
$result = mysqli_query($sql);

2. 系统执行命令

当PHP应用程序执行系统命令时，如果不适当地验证和过滤用户输入，就会导致系统执行命令攻击。攻击者可以通过这种方式在服务器上执行任意命令。

示例：

exec($_GET['cmd'], $output)

解决方案：

$cmd_array = array(
    "ls",
    "pwd",
    "echo",
    "cat"
);

if(in_array($_GET['cmd'], $cmd_array)){
    exec($_GET['cmd'], $output);
}

总结

保护PHP应用程序的安全是非常重要的。这篇攻略中我们介绍了几个常见的PHP安全配置记录，例如禁用不必要的PHP函数、设置PHP文件上传限制等，以及常见的PHP安全错误梳理，例如SQL注入和系统执行命令攻击。为了更好地保护我们的Web应用程序的安全，开发人员应该时刻关注安全问题，并采取合适的安全措施来防御潜在的攻击。