对于脚本安全这个话题好像永远没完没了，如果你经常到国外的各种各样的bugtraq上，你会发现有一半以上都和脚本相关，诸如SQL
injection，XSS，Path Disclosure，Remote commands execution这样的字眼比比皆是，我们看了之后的用途难道仅仅是抓肉鸡?对于我们想做web安全的人来说，最好就是拿来学习
，可是万物抓根源，我们要的不是鱼而是渔。在国内，各种各样的php
程序1.0版，2.0版像雨后春笋一样的冒出来，可是，大家关注的都是一些著名的cms，论坛，blog程序，很少的人在对那些不出名的程序做安全检测，对于越来越多的php程序员和站长来说，除了依靠服务器
的堡垒设置外，php程序本身的安全多少你总得懂点吧。
有人说你们做php安全无非就是搞搞注入和跨站什么什么的，大错特错，如果这样的话，一个magic_quotes_gpc或者服务器里的一些安全设置
就让我们全没活路了：(。我今天要说的不是注入，不是跨站，而是存在于php程序中的一些安全细节问题。OK!切入正题。
注意一些函数
的
过滤有些函数在程序中是经常使用的，像
include()，require()，fopen()，fwrite()，readfile()，unlink()，eval()以及它们的变体函数
等等。这些函数都很实用，实用并不代表 ......
1.使用PHP的创始人 Rasmus Lerdorf 写的APC扩展模块来实现（http://pecl.php.net/package/apc）
APC实现方法：
安装APC，参照官方文档安装，可以使用PECL模块安装方法快速简捷，这里不说明
配置php.ini，设置参数 apc.rfc1867=1 ，使APC支持上传进度条功能，在APC源码说明文档里面有说明
代码范例：
复制PHP内容到剪贴板
PHP代码:
if
($_SERVER[‘REQUEST_METHOD‘] == ‘POST‘)
{
//上传请求
$status = apc_fetch(‘upload_‘ . $_POST[‘APC_UPLOAD_PROGRESS‘]);
$status[‘done‘] = 1;
echo
json_encode($status); //输出给用户端页面里的ajax调用，相关文档请自己寻找
exit;
}
elseif
(isset($_GET[‘progress_key‘]))
{
//读取上传进度
$status = apc_fetch(‘upload_‘.$_GET[‘progress_key‘]);
echo
json_encode($status);
exit;
}
else
{
//其他代码，比如上传表单等
}
2. ......
php 购物车实例
<?php
/**
php 购物车实例
网上搜到的，简单容易理解。cookie存购物车ID，db存购物车数据。 购物车session的产生代码
*/
if(! $session && ! $scid) {
/*
session用来区别每一个购物车，相当于每个车的身份证号；
scid只用来标识一个购物车id号，可以看做是每个车的名字；
当该购物车的id和session值两者都不存在时，就产生一个新购物车
*/
$session = md5(uniqid(rand()));
/*
产生一个唯一的购物车session号
rand()先产生个随机数，uniqid()再在该随机数的基础上产生一个独一无二的字符串，最后对该字符串进行md5
*/
SetCookie(scid, $session, time() + 14400);
/*
设置该购物车cookie
变量名：scid（不知到这里是不是少了一个 $号呢？=》更正：scid要加“”）
变量值： $session
有效时间：当前时间+14400秒（4小时内）
关于setcookie函数的详细用法，大家还是参看php手册吧~
*/
}
class Cart { //开始购物车类
function check_item( $table, $session, $product) {
/*
查验物品(表名，session，物品)
*/
$query = SELECT * from $table WHERE session=' $session' ......
PHP批量取得checkbox的值
1、命名
<input type='checkbox' name='checkbox[]' value=$dwmyrow[banzhu] />
2、使用
当计划当作sql指令的一部分时：如果参与控制的字段是数值型的，则
if(! empty($_POST['checkbox'])) {
$expr = join(",", $_POST['checkbox']);
$sql = "select * from tbl_name where field in ($expr)";
}
如果参与控制的字段是数值型的，则
if(! empty($_POST['checkbox'])) {
$expr = "'".join("','", $_POST['checkbox']).".";
$sql = "select * from tbl_name where field in ($expr)";
}
PHP判断Form表单是否提交
$action=$HTTP_POST_VARS["Button1"];
if($action=="提交")
{
//执行表单操作
}
else
{
//读取默认值
}
PHP 获取字符串长度
strlen($myrow[1])
PHP Url转向
Header("Location: ".$_SERVER["HTTP_REFERER"]);
PHP超全局对象
<?php
$a = 1;
$b = 2;
function Sum()
{
$GLOBALS["b"] = $GLOBALS["a"] $GLOBALS["b"];
}
Sum();
echo $b;
?>
PHP 表单取值
如果 mothod="get" 就用 $_GET["test"] 代替$test
如果 mothod="post" 就用 $_POST["test"] 代替$test
PHP取得当前IP
<?=$HTTP ......
PHP4:
<?
$sample1 = new StdClass();
$sample1->name = "Hasin";
$sample2 = $sample1;
$sample2->name = "Afif";
echo $sample1->name;
?>
In PHP4 it works differently; it will output Hasin, as both are different from
each other.
PHP5:
<?
$sample1 = new StdClass();
$sample1->name = "Hasin";
$sample2 = $sample1;
$sample2->name = "Afif";
echo $sample1->name;
?>
The output is Afif
PHP5:
<?
$sample1 = new stdClass();
$sample1->name = "Hasin";
$sample2 =clone $sample1;
$sample2->name = "Afif";
echo $sample1->name;
?>
The output now would be Hasin.
__clone方法的使用
默认地,用__clone方法将建立一个与原对象拥有相同属性和方法的对象. 如果你想在克隆时改变默认的内容,你要在__clone中覆写(属性或方法).
克隆的方法可以没有参数,但它同时包含this和that指针(that指向被复制的对象). 如果你选择克隆自己,你要小心复制任何你要你的对象包含的信息,从that到this. 如果你用__clone来复制. PHP不会执行任何隐性的复制,
下面显示了一个用系列序数来自动 ......
你不必严格遵守这些原则，违背它们也不会被处以宗教刑罚。但你应当把这些原则看成警铃，若违背了其中的一条，那么警铃就会响起 。 ----- Arthur J.Riel
(1)所有数据都应该隐藏在所在的类的内部。
(2)类的使用者必须依赖类的共有接口，但类不能依赖它的使用者。
(3)尽量减少类的协议中的消息。
(4)实现所有类都理解的最基本公有接口[例如，拷贝操作(深拷贝和浅拷贝)、相等性判断、正确输出内容、从ASCII描述解析等等]。
(5)不要把实现细节(例如放置共用代码的私有函数)放到类的公有接口中。
如果类的两个方法有一段公共代码，那么就可以创建一个防止这些公共代码的私有函数。
(6)不要以用户无法使用或不感兴趣的东西扰乱类的公有接口。
(7)类之间应该零耦合，或者只有导出耦合关系。也即，一个类要么同另一个类毫无关系，要么只使用另一个类的公有接口中的操作。
(8)类应该只表示一个关键抽象。
包中的所有类对于同一类性质的变化应该是共同封闭的。一个变化若对一个包影响，则将对包中的所有类产生影响，而对其他的包不 造成任何影响 .
(9)把相关的数据和行� ......
最新文章 :