|
|
一個(gè)基本的原則就是，永遠(yuǎn)不要相信用戶提交的數(shù)據(jù)。
另一個(gè)規(guī)則就是，在你發(fā)送或者存儲數(shù)據(jù)時(shí)對它進(jìn)行轉(zhuǎn)義（escape）。
可以總結(jié)為：filter input, escape output (FIEO). 輸入過濾，輸出轉(zhuǎn)義。
通常導(dǎo)致SQL注射漏洞的原因是沒有對輸入進(jìn)行過濾，如下語句：
復(fù)制代碼 代碼如下:
<?php
$query = "SELECT *
FROM users
WHERE name = '{$_GET['name']}'";
在這個(gè)例子中，$_GET['name']來自用戶提交的數(shù)據(jù)，既沒有進(jìn)行轉(zhuǎn)義，也沒有進(jìn)行過濾~~
對于轉(zhuǎn)義輸出，你要記住用于你程序外部的數(shù)據(jù)需要被轉(zhuǎn)義，否則，它可能被錯誤地解析。
相反，過濾輸入能確保數(shù)據(jù)在使用前是正確的.
對于過濾輸入，你要記住，在你程序外部的原始數(shù)據(jù)需要被過濾，因?yàn)樗鼈兪遣豢尚湃蔚摹?
如下例子演示了輸入過濾和輸出轉(zhuǎn)義：
復(fù)制代碼 代碼如下:
<?php
// Initialize arrays for filtered and escaped data, respectively.
$clean = array();
$sql = array();
// Filter the name. (For simplicity, we require alphabetic names.)
if (ctype_alpha($_GET['name'])) {
$clean['name'] = $_GET['name'];
} else {
// The name is invalid. Do something here.
}
// Escape the name.
$sql['name'] = mysql_real_escape_string($clean['name']);
// Construct the query.
$query = "SELECT *
FROM users
WHERE name = '{$sql['name']}'";
?>
另一個(gè)有效防止SQL注射的方法是使用prepare 語句，如：
復(fù)制代碼 代碼如下:
<?php
// Provide the query format.
$query = $db->prepare('SELECT *
FROM users
WHERE name = :name');
// Provide the query data and execute the query.
$query->execute(array('name' => $clean['name']));
?>
2.了解比較運(yùn)算符之間的不同
例如，你使用strpos() 來檢測在一個(gè)字符串中是否存在一個(gè)子串 (如果子串沒有找到，函數(shù)將返回 FALSE ), 結(jié)果可能會導(dǎo)致錯誤:
復(fù)制代碼 代碼如下:
<?php
$authors = 'Chris & Sean';
if (strpos($authors, 'Chris')) {
echo 'Chris is an author.';
} else {
echo 'Chris is not an author.';
}
?>
上例中，由于子串處于最開始的位置，因此strpos() 函數(shù)正確地返回了0，表明子串處于字符串中最開始的位置。然后，因?yàn)闂l件語句會把結(jié)果當(dāng)成Boolean（布爾）類型的，因此 0 就被php給計(jì)算成了 FALSE，最終導(dǎo)致條件語句判斷失敗。
當(dāng)然，這個(gè)BUG可以用嚴(yán)格的比較語句來修正：
復(fù)制代碼 代碼如下:
<?php
if (strpos($authors, 'Chris') !== FALSE) {
echo 'Chris is an author.';
} else {
echo 'Chris is not an author.';
}
?>
3.減少else（Shortcut the else）
記住，在你使用變量前總是要先初始化它們。
考慮如下一個(gè)用來根據(jù)用戶名來檢測用戶是否是管理員的條件語句：
復(fù)制代碼 代碼如下:
<?php
if (auth($username) == 'admin') {
$admin = TRUE;
} else {
$admin = FALSE;
}
?>
這個(gè)看起來似乎足夠安全，因?yàn)榭匆谎劬秃苋菀桌斫狻Ｏ胂笠幌掠幸粋€(gè)更復(fù)雜一點(diǎn)的例子，它為name和email同時(shí)設(shè)置變量，為方便起見：
復(fù)制代碼 代碼如下:
<?php
if (auth($username) == 'admin') {
$name = 'Administrator';
$email = 'admin@example.org';
$admin = TRUE;
} else {
/* Get the name and email from the database. */
$query = $db->prepare('SELECT name, email
FROM users
WHERE username = :username');
$query->execute(array('username' => $clean['username']));
$result = $query->fetch(PDO::FETCH_ASSOC);
$name = $result['name'];
$email = $result['email'];
$admin = FALSE;
}
?>
因?yàn)椤?admin 還是明確地被設(shè)置為TRUE or FALSE，似乎一切都完好。但是，如果另一個(gè)開發(fā)者后來在代碼里加了一個(gè)elseif語句，很可能他會忘記這回事：
復(fù)制代碼 代碼如下:
<?php
if (auth($username) == 'admin') {
$name = 'Administrator';
$email = 'admin@example.org';
$admin = TRUE;
} elseif (auth($username) == 'mod') {
$name = 'Moderator';
$email = 'mod@example.org';
$moderator = TRUE;
} else {
/* Get the name and email. */
$query = $db->prepare('SELECT name, email
FROM users
WHERE username = :username');
$query->execute(array('username' => $clean['username']));
$result = $query->fetch(PDO::FETCH_ASSOC);
$name = $result['name'];
$email = $result['email'];
$admin = FALSE;
$moderator = FALSE;
}
?>
如果一個(gè)用戶提供一個(gè)能夠觸發(fā)elseif條件的用戶名(username)， $admin 沒有被初始化，這可能會導(dǎo)致不必要的行為，或者更糟糕的情況，一個(gè)安全漏洞。另外，一個(gè)類似的情況對于 $moderator 變量來說同樣存在，它在第一個(gè)條件中沒有被初始化。
通過初始化$admin 和 $moderator ，這是完全很容易避免這一情況的發(fā)生的：
復(fù)制代碼 代碼如下:
<?php
$admin = FALSE;
$moderator = FALSE;
if (auth($username) == 'admin') {
$name = 'Administrator';
$email = 'admin@example.org';
$admin = TRUE;
} elseif (auth($username) == 'mod') {
$name = 'Moderator';
$email = 'mod@example.org';
$moderator = TRUE;
} else {
/* Get the name and email. */
$query = $db->prepare('SELECT name, email
FROM users
WHERE username = :username');
$query->execute(array('username' => $clean['username']));
$result = $query->fetch(PDO::FETCH_ASSOC);
$name = $result['name'];
$email = $result['email'];
}
?>
不管剩下的代碼是什么，現(xiàn)在已經(jīng)明確了 $admin 值 為FALSE ，除非它被顯式地設(shè)置為其它值。對于 $moderator 也是一樣的。最壞的可能發(fā)生的情況就是，在任何條件下都沒有修改$admin 或 $moderator ，導(dǎo)致某個(gè)是administrator 或moderator的人沒有被當(dāng)作相應(yīng)的administrator 或moderator 。
如果你想 shortcut something ,并且你看到我們的例子有包含有else覺得有點(diǎn)失望。我們有一個(gè)bonus tip 你可能會感興趣的。我們并不確定它可以被認(rèn)為是a shortcut,但是我們希望它仍然是有幫助的。
考慮一下一個(gè)用于檢測一個(gè)用戶是否被授權(quán)查看一個(gè)特定頁面的函數(shù)：
復(fù)制代碼 代碼如下:
<?php
function authorized($username, $page) {
if (!isBlacklisted($username)) {
if (isAdmin($username)) {
return TRUE;
} elseif (isAllowed($username, $page)) {
return TRUE;
} else {
return FALSE;
}
} else {
return FALSE;
}
}
?>
這個(gè)例子是相當(dāng)?shù)暮唵危驗(yàn)橹挥腥龡l規(guī)則需要考慮：
administrators 總是被允許訪問的，
處于黑名單的永遠(yuǎn)是禁止訪問的，
isAllowed()決定其它人是否有權(quán)訪問。
（還有一個(gè)特例是：當(dāng)一個(gè)administrator 處于黑名單中，但這似乎是不太可能的事，所以我們這里直接忽視這種情況）。
我們使用函數(shù)來做這個(gè)判斷以保持代碼的簡潔然后集中注意力到業(yè)務(wù)邏輯上去。
如：
復(fù)制代碼 代碼如下:
<?php
function authorized($username, $page) {
if (!isBlacklisted($username)) {
if (isAdmin($username) || isAllowed($username, $page)) {
return TRUE;
} else {
return FALSE;
}
} else {
return FALSE;
}
}
?>
事實(shí)上，你可以精減整個(gè)函數(shù)到一個(gè)復(fù)合條件：
復(fù)制代碼 代碼如下:
<?php
function authorized($username, $page) {
if (!isBlacklisted($username) && (isAdmin($username) || isAllowed($username, $page)) {
return TRUE;
} else {
return FALSE;
}
}
?>
最后，這個(gè)可以被減少到只有一個(gè)return:
復(fù)制代碼 代碼如下:
<?php
function authorized($username, $page) {
return (!isBlacklisted($username) && (isAdmin($username) || isAllowed($username, $page));
}
?>
如果你的目標(biāo)是謄清代碼的行數(shù)，那么這樣你做到的。但是，你要注意到，我們在用isBlacklisted(), isAdmin() 和 isAllowed() ，這取決于參與這些判斷的東西,減少代碼到只剩下一個(gè)復(fù)合條件可能不吸引人。
這下說到我們的小技巧上了，一個(gè)“立即返回”函數(shù)，所以，如果你盡快返回，你可以很簡單地表達(dá)這些規(guī)則：
復(fù)制代碼 代碼如下:
<?php
function authorized($username, $page) {
if (isBlacklisted($username)) {
return FALSE;
}
if (isAdmin($username)) {
return TRUE;
}
return isAllowed($username, $page);
}
?>
這個(gè)例子使用了更多行數(shù)的代碼，但是它是非常簡單和不惹人注意的。更重要的是，這個(gè)方法減少了你必需考慮的上下文的數(shù)量。例如，一旦你決定了用戶是否處于黑名單里面，你就可以安全地忘掉這件事了。特別是你的邏輯很復(fù)雜的時(shí)候，這是相當(dāng)?shù)挠袔椭摹?
4. 總是使用大括號
PS:原諒是“扔掉那些方括號 Drop Those Brackets”
根據(jù)本文的內(nèi)容, 我們相應(yīng)作者的意思應(yīng)該是 “braces,” 而不是brackets. “Curly brackets” 可能有大括號的意思, 但是”brackets” 通常表示 “方括號”的意思。這個(gè)技巧應(yīng)該被無條件的忽略，因?yàn)椋瑳]有大括號，可讀性和可維護(hù)性被破壞了。
舉一個(gè)簡單的例子：
復(fù)制代碼 代碼如下:
<?php
if (date('d M') == '21 May')
$birthdays = array('Al Franken',
'Chris Shiflett',
'Chris Wallace',
'Lawrence Tureaud');
?>
If you're good enough, smart enough, secure enough, notorious enough, or pitied enough, 你可能會想在5月21號參加社交聚會:
復(fù)制代碼 代碼如下:
<?php
if (date('d M') == '21 May')
$birthdays = array('Al Franken',
'Chris Shiflett',
'Chris Wallace',
'Lawrence Tureaud');
party(TRUE);
?>
沒有大括號，這個(gè)簡單的條件導(dǎo)致你每天參加社交聚會 。也許你有毅力,因此這個(gè)錯誤是一個(gè)受歡迎的。希望那個(gè)愚蠢的例子并不分散這一的觀點(diǎn),那就是過度狂歡是一種出人意料的副作用。
為了提倡丟掉大括號，先前的文章使用類似下面的簡短的語句作為例子：
復(fù)制代碼 代碼如下:
<?php
if ($gollum == 'halfling') $height --;
else $height ++;
?>
因?yàn)槊總€(gè)條件被放在單獨(dú)的一行, 這種錯誤似乎會較少發(fā)生, 但是這將導(dǎo)致另一個(gè)問題:代碼的不一致和需要更多的時(shí)間來閱讀和理解。一致性是這樣一個(gè)重要的特性，以致開發(fā)人員經(jīng)常遵守一個(gè)編碼標(biāo)準(zhǔn),即使他們不喜歡編碼標(biāo)準(zhǔn)本身。
我們提倡總是使用大括號：
復(fù)制代碼 代碼如下:
<?php
if (date('d M') == '21 May') {
$birthdays = array('Al Franken',
'Chris Shiflett',
'Chris Wallace',
'Lawrence Tureaud');
party(TRUE);
}
?>
你天天聚會是沒關(guān)系的,但要保證這是經(jīng)過思考的,還有，請一定要邀請我們!
5. 盡量用str_replace() 而不是 ereg_replace() 和 preg_replace()
我們討厭聽到的否認(rèn)的話，但是（原文）這個(gè)用于演示誤用的小技巧導(dǎo)致了它試圖避免的同樣的濫用問題。（
We hate to sound disparaging, but this tip demonstrates the sort of misunderstanding that leads to the same misuse it's trying to prevent.）
很明顯字符串函數(shù)比正則表達(dá)式函數(shù)在字符匹配方面更快速高效，但是作者糟糕地試圖從失敗中得出一個(gè)推論：
（FIX ME: It's an obvious truth that string functions are faster at string matching than regular expression functions, but the author's attempt to draw a corollary from this fails miserably:）
If you're using regular expressions, then ereg_replace() and preg_replace() will be much faster than str_replace().
Because str_replace() does not support pattern matching, this statement makes no sense. The choice between string functions and regular expression functions comes down to which is fit for purpose, not which is faster. If you need to match a pattern, use a regular expression function. If you need to match a string, use a string function.
6. 使用三重運(yùn)算符
三元運(yùn)算符的好處是值得討論的. 下面是一行從最近我們進(jìn)行的審計(jì)的代碼中取出的：
復(fù)制代碼 代碼如下:
<?php
$host = strlen($host) > 0 ? $host : htmlentities($host);
?>
啊，作者的真實(shí)意愿是如果字符串的長度大于0 就轉(zhuǎn)義 $host ， 但是卻意外地做了相反的事情。很容易犯的錯誤是吧？也許吧。在代碼審計(jì)過程中很容易錯過？當(dāng)然。簡潔并不一定能使代碼變得很好。
三重運(yùn)算符對于單行，原型，和模板也行是適合的，但是我們相信一個(gè)普通的條件語句總是更好的。php是描述性的和詳細(xì)的，我們認(rèn)為代碼也應(yīng)該是。
7. Memcached
磁盤訪問是慢速的，網(wǎng)絡(luò)訪問也是慢的，數(shù)據(jù)庫通常使用這二者。
內(nèi)存是很快的。使用本地緩存可以避免網(wǎng)絡(luò)和磁盤訪問的開銷。結(jié)合這些道理，然后，你想到了memcached，一個(gè)“分布式內(nèi)存對象緩存系統(tǒng)”，最初為基于Perl的博客平臺LiveJournal開發(fā)的。
如果你的程序不是分布在多個(gè)服務(wù)器上，你可能并不需要memcached。單的緩存方法――序列化數(shù)據(jù)然后將它保存在一個(gè)臨時(shí)文件中。例如 主站蜘蛛池模板： 呼图壁县| 天津市| 屏东县| 平南县| 巴青县| 扎鲁特旗| 梁平县| 岳阳县| 樟树市| 西昌市| 东辽县| 镇安县| 东台市| 台湾省| 高州市| 长治市| 江孜县| 阳高县| 宁波市| 枝江市| 冕宁县| 遂溪县| 永康市| 通山县| 正阳县| 来安县| 嘉善县| 霍城县| 乐陵市| 寻乌县| 通州市| 龙岩市| 虹口区| 金川县| 周宁县| 哈密市| 兴城市| 罗城| 漳州市| 泗洪县| 邯郸市|