php因天然生成支撑web运用的开发，以其简略易学，开发效率高而备受喜欢。使其占有了大片的商场。可是php自身的安全问题却一向不曾消停，以及不标准的php代码编写标准，使得web运用漏洞百出。这篇文章从装备文件和代码编写视点动身，总结记载php相关安全。新手上路，向长辈问候。

请充沛了解你的php
基本信息
留意到以下的文件结构在新版别php或许不同的发行版中略有不同，就比如在ubuntu18.04中装置php7就和下面的文件结构有较大的不同，所以下面的文件只是作为一个apache的架构参阅。
Root：/var/www/html
默许Web服务：Apache（能够运用Lighttpd或Nginx替代）
默许PHP装备文件：/etc/php.ini
默许PHP Extensions
装备目录：/etc/php.d/
PHP安全装备样例文件：/etc/php.d/security.ini（需求运用文本编辑器创立这个文件）
php 版别： php -v
检查当时PHP所编译 ： php -m
灵敏装备
以下是一些常见的装备举例，更多请检查：http://php.net/manual/zh/ini.core.php#ini.variables-order。
不在恳求头中走漏php信息：
expose_php=Off
不回显php过错（包含运转过错时和启动时过错），可是进行过错记载：
play_errors=Off 
display_startup_errors=off
log_errors=On
error_log=/var/log/httpd/php_scripts_error.log
文件上传敞开与否和更大上传文件约束：
file_uploads=On
upload_max_filesize=1M
操控更大post数据：
post_max_size=1M
留意：到要比upload_max_filesize大，不然后者失效。
封闭长途代码履行：
allow_url_fopen=Off
allow_url_include=Off
封闭大局注册变量，不过默许5.x版别的php是off：
register_globals=off
关于安全方式和粗犷的戏法引号过滤，留意到save_mode方式在php5.3以上版别，safe_mode被弃用，在php5.4以上版别，则将此特性彻底去除了：
safe_mode=On
safe_mode_include_dir = D:/phpstudy/www/include/
magic_quotes_gpc=Off   #假如敞开了这个，然后在php运用中运用addslashes()过滤输入会形成两层转义，使得过滤杯水车薪，遇到这种状况时能够运用函数   get_magic_quotes_gpc() 进行检测。
magic_quotes_runtime
资源管理避免过火耗费服务器资源：
max_execution_time = 30
max_input_time = 30
memory_limit = 40M
禁用风险函数：
disable_functions =
phpinfo,eval,passthru,assert,exec,system,ini_set,ini_get,get_included_files,
get_defined_functions,get_defined_constants,get_defined_vars,
glob,``,chroot,scandir,chgrp,chown,shell_exec,proc_open,proc_get_status,
ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,readlink,
symlink,popepassthru,stream_socket_server,fsocket,fsockopen
约束php拜访文件体系：
open_basedir='/var/www/html/';......;......
session保存途径：
session.save_path="/var/lib/php/session"
上传文件默许途径：
upload_tmp_dir="/var/lib/php/upload"
关于风险函数
特殊符号：
“：反引号运算符在激活了安全方式或许封闭了 shell_exec() 时是无效的，一起与其它某些言语不同，反引号不能在双引号字符串中运用。不然将会当作shell指令履行，履行效果等同于shell_exec()。
文件操作：http://php.net/manual/zh/ref.filesystem.php。
大局信息，装备等：http://php.net/manual/zh/ref.info.php。
程序履行：http://php.net/manual/zh/book.exec.php。
不要过火信任php
弱类型
前人之述备矣，只是做个汇总。相同还能够参看官网给出的类型表（PHP 类型比较表）。
0=='0'        //true
0 == 'abcdefg'    //true
1 == '1abcdef'    //true
null==false     //true
123=='123'      //true
//哈希比较
"0e132456789"=="0e7124511451155" //true
"0e123456abc"=="0e1dddada"    //false
"0e1abc"=="0"     //true
"0x1e240"=="123456"        //true
"0x1e240"==123456        //true
var_dump(intval('2'))    //2
var_dump(intval('3abcd'))    //3
var_dump(intval('abcd'))    //0
//恣意两个array,MD5持平
var_dump(md5($array1)==var_dump($array2));    //true
//case 自转化，以下代码输出i is less than 3 but not negative
$i ="2abc";
switch ($i) {
case 0:
case 1:
case 2:
    echo "i is less than 3 but not negative";
    break;
case 3:
    echo "i is 3";
}
//in_array的缺点，array_search
$array=[0,1,2,'3'];
var_dump(in_array('abc', $array));  //true
var_dump(in_array('1bc', $array));    //true
//strcmp在php5.x个版别后有些特性不太同，所以遇到的时分详细评论
大局注册变量
假如现已弃用的 register_globals 指令被设置为 on 那么局部变量也将在脚本的大局效果域中可用。例如， $_POST['foo'] 也将以 $foo 的方式存在。这将会形成一些变量掩盖，条件判别绕过。以下是简化的大局变量认证绕过模型：

[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12]  黑客接单网