编写PHP的安全策略
|
如果想读取被保护的目录，Web服务器要求浏览器提供用户名和密码。浏览器弹出对话框，用户可以输入他们的用户名和密码。如果用户名和密码与口令文件中相符合，就允许用户读取被保护的页面；反之，将得到错误页面，告诉用户没有通过验证。被保护的域会显示出来以便用户知道输入那个用户名和密码。 （2）在PHP中进行用户识别和验证 和在Apache服务器端进行用户识别和验证相比，在PHP进行用户识别和验证有以下优点： A、可注销。 B、可失效。如用户登录后40分钟没有浏览你的网站，你可强制他们重新通过验证。 C、可定制。 D、可基于数据库。你可以用保存在各种各样的数据库里的数据来验证用户，并且记录访问者访问网站的详细日志。 E、可用于每个页面。你可在每个页面上决定是否需要验证。 F、你也可以使浏览器弹出对话框。下面的例子显示了怎样从，MySQL数据库中检索用名和口令：让用户填人用户名和口令。 <? if(!isset($PHP_AUTH_USER)) { Header("WWW-authenticate: basic realm="restricted area""); Header( "HTTP/I.0 401 Unauthorized"); echo "You failed to provide the correct password...n"; exit; } else { mysql_select_db("users") ; $user_id = strtolower($PHP^AUTH_USER); $result = mysql_query("SELECT password FROM users " . "WHERE username = '$username'") ; $row = mysql_fetch_array($result) ; if ($PHP_AUTH_PW != $row["password"]) { Header( "WWW-authenticate: basic realm="restricted area" Header( "HTTP/I.0 401 Unauthorized"); echo "You failed to provide the correct password...n" ; exit; } } ?> Only users with a working username/password combination can see this (3) 检测IP地址 一般人们普遍认为一个IP地址唯一地确定一个访问者。但实际上并不是这样的。代理服务器可用相同的IP地址发送不同用户的请求。另外IP地址的盗用也普遍存在。检测 IP地址有它们的用处，但相当有限。例如你是一个论坛版主，你发现某个用户粘贴一些不健康的、违法的内容。你可以找到他的IP地址，把从这个IP连进来的用户逐出论坛。使用下面一行命令将会得到某个特定请求的源IP地址： # ip = $REMOTE_ADDR
在PHP中，加密技术主要用来加密信息、产生校验和和摘要。使用加密技术可大大地增强安全性能。 这里只讲述使用加密技术的一些概念。如果你想进一步了解，应参考一些好的加密技术资料。加密技术的标准是Bmce Schneier的应用加密技术，非常值得一读。他的网站( )是在互联网上查找加密技术资料的好起点。数据加密是一个非常复杂的话题，这里只简单介绍一下。 PHP中大多数的加密函数由mcrypt库和mhash库提供。你需要在系统中装上这两个库，在编译时加上--ith-mcrypt和--ith-hash选项。PHP从 3．013版本开始支持mcrypt库。 5、使用具有SSL技术 SSI是英文Server Side Includes的缩写。使用具有SSL(安全套接字协议层)功能的web服务器，可以不用改变一行代码而提高网站的安全性能。SSI使用加密方法来保护web服务器和浏览器之间的信息流。SSL不仅用于加密在互联网上传递的数据流，而且还提供双方身份验证。这样，你就可以安全地在线购物而不必担心别人矢随你的信用卡的信息。这种特性使得SSL适用于那些交换重要信息的地方，像电子商务和基于Web的邮件。 SSL使用公共密钥加密技术，服务器在连接结束时给客户端发送公用密钥用来加密信息，而加密的信息只有服务器用它自己持有的专用密钥才能解开。客户端用公用密钥加密数据，并且发送给服务端自己的密钥，以唯一确定自己，防止在系统两端之间有人冒充服务端或客户端进行欺骗。 加密的HTTP连接用443端口号代替80端口号，以区别于普通的不加密的HTTP。客户端使用加密HTTP连接时会自动使用443端口而不是80端口。这使得服务端更容易作出相应的响应。 在Apache服务器下，可以通过直接编辑服务器配置文件或者在需要使用SSI的目录中创建.htaccess文件来启动SSI。登录到服务器，找到配置文件的存放目录，使用文字编辑器打开文件srm.conf，找到以下几行： # If you want to use server side includes, or CGI outside 将以AddType开头的两行并且去掉每一行最前面的"#"符号即可。保存所做的修改，然后再打开文件access.conf。 ＜Directory /usr/local/etc/httpd/htdocs＞
通常CGI程序或PHP脚本只能以启动web服务器的用户权限来运行(通常为www或nobody)，这样会出现的情况之一是可以读写和修改由另一个用户的CGI和PHP脚本生成的文件(如脚本和密码文件)。也可能使用户可以连接到其他用户的数据库，但这与数据库的配置有关。如MySQL的默认配置便是允许的，但可以通过强制数据库进行口令验证来弥补此不足。PHP的safe—mode减少了这些问题，但所有的脚本仍然以相同的用户标识运行。Apache可以解决这个问题。suEXEC(在执行前改变用户标识)是一个小工具，允许以任意用户标识运行CGI程序，当然也包括PHP脚本，但根用户除外。而且可以和UseDir和VirtualHost项一起使用。 所以suEXEC也叫CGI封装。这意味着在脚本运行之前它需要通过一系列规定的安全检查。随Apache2。0版发布的suEXEC有26个检查点。suEXEC能解决一些安全问题，同时允许用户开发和更安全地执行自己的脚本。但是suEXEC会降低服务性能，因为suEXEC只能运行在CGI版本的PHP上，而CGI版本比模块版本运行速度慢。原因是模块版本使用了线程，而使用CGI版本的是进程。在不同线程之间的环境转换和访问公用的存储区域显然要比在不同的进程之间要快得多。使用suEXEC的另外一个问题是它增加了编写和使用PHP脚本的难度。你要确保脚本能通过suEXEC的检验。否则，你的脚本不会被执行。我们建议在你对安全性能要求比较高时使用suEXEC ,为此你还要以牺牲速度为代价。 7、创建安全的PHP脚本 （编辑：焦作站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
