phpweb网站开发安全

phpweb网站开发安全

 php是一门上手很容易，比较随性的计算机编程语言，刚上班的时候对php安全方面懂得不是很多，曾写过一些程序：前台提交的数据没有经过转义（<和>之类的html标签没有转成html实体），测试过程中后显示用户输入的内容成了html的标签格式，很是丢人啊，丢人是小事，重要的是程序的安全性没有保证。

    以前看过一道很简单的面试题，大概意思是从：http://www.phpstar.cn/?category=php中获取获取参数category的值。题目很简单相信写过php的人都能把category的值得出来，比如$_GET['category']这样写的人比比皆是，这样写不能说不能取到值，只是没有经过安全性的处理。

    下面说一说php的安全的例子：

    1.include的使用。

 

 

    include $action . '.php';  

?> 

   其中的$action变量可能是从外边get方式的来的，这样看貌似是没有问题，但是如果$action = ‘http://www.baidu.com/error’呢？所以这里要加一个判断：要引入的文件是不是存在

     2.跨站运行脚本xss：比如一个评论框中用户输入