php - 确保 Web 应用程序安全

Question

我想制作一个新的 php Web 应用程序，如果我遵循以下操作，我的网站安全吗？

• 使用addslashes转义用户输入($_GET && $_POST)
• 使用 PDO 制作准备好的报表
• 检查用户输入的类型是否正确(例如 int 或 string)

Answer 1

安全性不是可以固定的东西 - 它是一个持续改进的过程。

• 使用 addslashes 对您没有帮助 - 您需要使用 htmlentities 转义输出。
• 将准备好的语句与 PDO 结合使用效果很好。
• 检查用户输入的类型是不够的 - 您需要更好地检查它。如果您希望通过电子邮件地址进行检查，请不要假设您有一个字符串就可以了。

安全方面还有很多事情需要考虑，例如 XSS , CSRF ...

如果你能得到这本书The Web Application Hacker's Handbook: Discovering and Exploiting Security Flaws 。其中充满了有用的建议。

而且，我再说一遍 - 安全性不是一项功能 - 它是一种衡量标准。不存在 100% 安全的应用程序(或者实际上任何东西)。安全性的假设是让破坏它比其背后的东西更昂贵 - 如果您的网站正在处理金钱 - 您需要更多的安全性 - 如果您正在处理礼品卡 - 即使不做您建议的事情，您也可能会逃脱(这将这是一个非常糟糕的主意，但仍然)。