安全指南

请保证你项目使用的依赖项都在安全维护周期范围内

依赖管理

提示

Composer 安装、配置及使用请参考本书 第二章:2.3 开发环境搭建

Composer:https://getcomposer.org/ 在 PHP 生态中是重要的一环,大部分的扩展包都是通过 Composer 进行管理。 如果你是手动下载扩展包并进行手动加载,那么在大型应用上,你无法检测某个框架是否过时, 也无法知晓某个框架的重大安全漏洞并及时更新到最新版本,过老的版本是非常不安全的。

HTTPS 和浏览器安全

HTTPS,一种通过计算机网络进行安全通信的传输协议在 2018 年,所有现代安全的浏览器已经不在接受 HTTP,用户打开 HTTP 协议的网站时, 浏览器会警告该网站的连接不安全。 不过你可以从各大云厂商免费的申请一个 TLS 证书, 或者使用 Let's Encrypt certificate authority:https://letsencrypt.org/

开发安全的 PHP 程序

避免 PHP 程序存在 SQL 注入如果你是自己编写 SQL 代码, 请确保使用 prepared 语句, 并且从网络或文件系统提供的信息都作为参数传递, 而不是字符串拼接的形式。 此外,确保你没有使用 模拟的 prepared 语句:https://stackoverflow.com/questions/134099

文件上传处理

接受未知来源的问题,意味着这些文件可能恶意攻击服务器, 请保证服务器文件权限不超过 775, 上传的新文件应该是 只读或读写, 不要在网站根目录保存文件, 同大多数 PHP 框架一样,不在根目录运行 index.php 目的是为恶意代码提供最少的执行环境, 例如:

/var/www/example.com-uploaded/

或者直接将文件往下移动一个层级

/var/www/example.com/public

跨站请求伪造

跨站请求伪造(CSRF)是一种混淆的代理攻击,通过诱导用户的浏览器代表攻击者执行恶意的 HTTP 请求(使用的是该用户的权限).。首先使用 HTTPS,没有 HTTPS 的话,任何保护都是脆弱的,因为所有数据都是明文传输。 如果你是用的是现代 PHP 框架,请在框架中开启 CSRF 验证 。如果你是原生用户,只需要:

  • 增加基本的 Challenge-response authentication。
  • 为每个表单添加一个隐藏的表单属性。
  • 填充一个密码安全的随机值(称为令牌)。
  • 验证是否提供了隐藏的表单属性,以及是否匹配上期望值。

密码散列

提示

安全的密码存储曾经是一个激烈争论的话题,但现在实现起来相当微不足道

$hash = password_hash($passwordPASSWORD_DEFAULT);
if (password_verify($password$hash)) {
// Authenticated.
if (password_needs_rehash($hashPASSWORD_DEFAULT)) {
// Rehash, update database.
}
}

甚至不需要知道在后台使用什么算法,因为如果你使用最新版本的 PHP ,你也将使用当前最新的技术,用户的密码将会自动进行升级(只要有新的默认算法可用)。

禁止

请不要错误的将摘要算法当作加密算法使用,比如 md5 摘要算法,这不是一种可用于加密的东西。

Last updated on by AGDholo