我应该在PHP中注意哪些安全问题

Question

我刚开始学习PHP,我一直在ASP.Net开发Web应用程序很长一段时间.我想知道是否有任何PHP特定的安全错误,我应该注意.

所以,我的问题是每个PHP开发人员应该知道的最重要的安全提示是什么？

每个答案请保持一个提示,以便人们可以有效地上/下投票.

Answer 1

(没有特别的顺序)

编辑:对于"新手",这是一个基本的原因(因为我有时间解释这个):

注册全局变量是一种失常.这是有史以来最终的安全漏洞.例如,如果启用了register_globals,则网址http://www.yourdomain.com/foo.php?isAdmin=1将声明$ isAdmin作为全局变量,不需要代码.我不知道为什么这个"功能"让它成为PHP的方式,但是这背后的人应该在他们的额头上纹了下面的纹身:"我发明了PHP Register Globals",所以当我们看到它们时我们可以像害虫一样逃离它们!
魔术引用是另一个愚蠢的想法,它使它成为PHP的方式.基本上,当ON PHP将自动转义引号('变为\'和"成为\")以帮助SQL注入攻击.这个概念并不坏(有助于避免注入攻击),但是逃避所有 GET,POST和COOKIE值会使您的代码变得如此复杂(例如,每次显示和数据时都必须进行浏览).另外,如果有一天你关闭此设置而不对代码进行任何更改,那么所有代码和/或数据都会被破坏,并且(甚至更多)容易受到注入攻击(即使在你很容易受到攻击时也是如此).
您的数据库数据是您网站上最有价值的东西.你不希望别人搞砸它,所以保护自己,阅读有关它的东西,并考虑到这一点.
这又可能导致安全问题.错误消息可以提供有关代码如何工作的hackes的提示.此外,这些消息对访问者没有任何意义,为什么要显示它们呢？

Answer 2

警告:自PHP 5.3.0起,此功能已被弃用,自PHP 5.4.0起已被删除.

Answer 3

Cross Site Scripting(XSS)Wiki,Google
Cross Site Request Forgery(XSRF/CSRF)Wiki,Google(感谢Rook)
- Session Fixation Wiki,Google
SQL注入(SQLi)Wiki,Google
关闭生产环境中的错误消息
将任何"包含"代码保存在不可通过Web访问的目录中(拒绝访问或将其保留在webroot之外)
这是我写的一篇关于以安全的方式存储密码的文章,如果你不想接受我的话,请查看底部的链接.
在我的文章中也有链接,但在这里给出了它自己的单独链接,麻省理工学院发表了一篇名为"网上客户认证的DO和不做"的论文^[PDF].虽然它的一些信息(建议使用MD5哈希,仅为一个)仅仅因为我们现在所知道的与我们所知道的相比已经过时,但整体原则非常强大,应予以考虑.
Rooks的一个链接让我想起了另一套重要的限制
- 关闭Register Globals(这是现在的默认值,所以我之前没有提到过)
- 处理文件上传时,请务必使用is_uploaded_file()以验证文件是否已上传而move_uploaded_file()不是copy()或rename().
  - 如果您需要知道原因(并且确实如此),请阅读PHP手册的这一部分.
由于我现在两次提到他,请查看Rooks的答案(/sf/ask/159304001/知道#2275788)因为它包含一个文档的链接,其中包含关于最重要的安全问题的(非PHP特定的)信息(因此这可能是正确的答案).