PHP最佳实践之过滤、验证、转义和密码

内容简介：PHP最佳实践之过滤、验证、转义和密码

过滤、验证和转义

1).不要相信任何来自不受自己直接控制的数据源中的数据。包括但不限于：

• $_GET

• $_POST

• $_REQUEST

• $_COOKIE

• $argv

• PHP://stdin

• PHP://input

• file_get_contents()

• 远程数据库

• 远程API

• 来自客户端的数据

2).解决办法：过滤输入。删除不安全的字符，在数据到达应用的存储层之前，必须过滤数据。需要过滤的数据包括不限于：HTML、 SQL 查询和用户资料信息。

• HTML:使用HTMLentities()函数过滤HTML成对应的实体。这个函数会转义制定字符的HTML字符，以便在存储层安全的渲染。正确的使用方式是使用 HTMLentities($input, ENT_QUOTES, 'UTF-8') 过滤输入。或者使用HTML Purifier。缺点是慢

• SQL查询: 有时必须根据数据构建SQL查询。这时要要使用PDO预处理语句过滤外部数据。

• 用户资料信息:使用 filter_var() 和 filter_input() 过滤用户资料信息

3).验证数据：也可以使用 filter_var() ，验证成功返回要验证的值，失败返回 false 。但是这个函数无法验证所有数据，所以可以使用一些验证功能组件。例如 aura/filter 或者 symfony/validator
4)转义输出：任然可以使用 HTMLentities 这个函数，一些模板引擎也自带了转义功能。

密码

1).绝对不能知道用户的密码。

2).绝对不要约束用户的密码，要限制的话只限制最小长度。

3).绝对不能使用电子邮件发送用户的密码。你可以发送一个修改密码的链接，上面带一个token验证是用户本人就行了。

4).使用 bcrypt 计算用户密码的哈希值。加密和哈希不是一回事，加密是双向算法，加密的数据可以被解密。但是哈希是单项算法，哈希之后的数据无法被还原，想同的数据哈希之后得到的数据始终是相同的。使用数据库存储通过 bcrypt 哈希密码之后的值。

5).使用密码哈希API简化计算密码哈希和验证密码的操作。下面的注册用户的一般操作

POST /register.php HTTP/1.1 Content-Length： 43 Content-type: application/x-www-form-urlencoded  email=xiao@hello.world&password=nihao

下面是接受这个请求的 PHP 文件

<?php try {     $email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);     if (!$email) {         throw new Exception('Invalid email');     }     $password = filter_iput(INPUT_POST, 'password');     if (!$password || mb_strlen($password) < 8) {         throw new Exception('Password must contain 8+ characters');     }     //创建密码的哈希值     $passwordHash = password_hash(         $password,         PASSWORD_DEFAULT,         ['cost' => 12]      );      if ($passwordHash === false) {         throw new Exception('Password hash failed');     }      //创建用户账户，这里是虚构的代码     $user = new User();     $user->email = $email;     $user->password_hash = $passwordHash;     $user->save();     header('HTTP/1.1 302 Redirect');     header('Location: /login.php'); } catch (Exception $e) {     header('HTTP1.1 400 Bad Request');     echo $e->getMessage(); }

6).根据机器的具体计算能力修改password_hash()的第三个值。计算哈希值一般需要0.1s-0.5s。

7).密码的哈希值存储在varchar(255)类型的数据库列中。

8).登录用户的一般流程

POST /login.php HTTP1.1 Content-length: 43 Content-Type: application/x-www-form-urlencoded  email=xiao@hello.wordl&pasword=nihao

session_start(); try {     $email = filter_input(INPUT_POST, 'email');     $password = filter_iinput(INPUT_POST, 'password');      $user = User::findByEmail($email);      if (password_verify($password, $user->password_hash) === false) {         throw new Exception(''Invalid password);     }      //如果需要的话，重新计算密码的哈希值     $currentHasAlgorithm = PASSWORD_DEFAULT;     $currentHashOptions = array('cost' => 15);     $passwordNeedsRehash = password_needs_rehash(         $user->password_hash,         $currentHasAlgorithm,         $currentHasOptions     );     if ($passwordNeedsRehash === true) {         $user->password_hash = password_hash(             $password,             $currentHasAlgorithm,             $currentHasOptions         );          $user->save();     }      $_SESSION['user_logged_in'] = 'yes';     $_SESSION['user_email'] = $email;      header('HTTP/1.1 302 Redirect');     header('Location: /user-profile.php'); } catch (Exception) {     header('HTTP/1.1 401 Unauthorized');     echo $e->getMessage(); }

9).PHP5.5.0版本之前的密码哈希API无法使用，推荐使用ircmaxell/password-compat组件

以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

• PowerShell转义通配符
• XML 非法字符（转义字符）
• php 字符串转义
• Python处理HTML转义字符
• PHP 中的转义函数小结
• 基于ANSI转义序列来构建命令行工具

本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。