第15章：安全编程

概述

在当今的互联网环境中，Web应用程序安全至关重要。PHP作为最受欢迎的服务器端脚本语言之一，面临着各种安全威胁。本章将详细介绍PHP开发中的安全编程技术，帮助你构建安全、可靠的Web应用程序。

为什么安全编程如此重要？

保护用户数据：防止敏感信息泄露
维护系统完整性：避免系统被恶意攻击
建立用户信任：让用户相信你的应用是安全的
法律合规要求：许多地区的数据保护法规要求采取适当的安全措施
避免经济损失：安全漏洞可能导致直接的经济损失

学习目标

通过本章的学习，你将掌握：

SQL注入攻击的原理和防护方法
XSS攻击的防护技术
CSRF攻击的防护措施
密码安全的最佳实践
文件上传安全
会话安全
输入验证和输出编码
安全头部配置
安全审计和日志

安全开发原则

永不信任用户输入：所有输入都应被视为潜在的威胁
最小权限原则：只授予必要的权限
纵深防御：实施多层安全措施
默认拒绝：默认情况下拒绝访问，明确允许才授权
保持更新：定期更新PHP版本和依赖库
最小化暴露：减少敏感信息的暴露

章节结构

本章包含以下主要部分：

SQL注入防护 - 防止数据库注入攻击
XSS攻击防护 - 防止跨站脚本攻击
CSRF防护 - 防止跨站请求伪造
密码安全 - 安全的密码存储和验证

安全威胁概述

常见的Web安全威胁

威胁类型	描述	危害等级
SQL注入	通过输入框注入恶意SQL代码	高
XSS攻击	注入恶意JavaScript代码	高
CSRF攻击	伪造用户请求执行未授权操作	中
文件上传漏洞	上传恶意文件获取服务器控制权	高
会话劫持	窃取或冒充用户会话	高
密码泄露	明文存储或弱哈希导致的密码泄露	高
信息泄露	暴露敏感的系统信息	中
拒绝服务攻击	消耗系统资源导致服务不可用	中

PHP安全配置

1. php.ini安全配置

; 错误显示设置
display_errors = Off              ; 生产环境关闭错误显示
log_errors = On                   ; 记录错误到日志
error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT

; 文件上传配置
file_uploads = On
upload_max_filesize = 2M
max_file_uploads = 20

; 会话安全设置
session.cookie_httponly = On     ; HTTP Only Cookie
session.cookie_secure = On        ; 仅HTTPS传输Cookie
session.use_strict_mode = On      ; 严格会话模式
session.cookie_samesite = 'Strict'

; 其他安全设置
allow_url_fopen = Off             ; 禁止远程文件打开
allow_url_include = Off           ; 禁止远程文件包含
expose_php = Off                   ; 隐藏PHP版本信息

2. 运行时安全检查

<?php
// 检查PHP版本
if (version_compare(PHP_VERSION, '7.4.0', '<')) {
    die('需要PHP 7.4.0或更高版本');
}

// 安全检查函数
function checkSecuritySettings() {
    $errors = [];

    // 检查是否在生产环境
    if (ini_get('display_errors')) {
        $errors[] = 'display_errors应该设置为Off';
    }

    // 检查文件上传限制
    $maxUpload = ini_get('upload_max_filesize');
    if ($maxUpload > '8M') {
        $errors[] = 'upload_max_filesize建议设置为8M或更小';
    }

    // 检查会话设置
    if (!ini_get('session.cookie_httponly')) {
        $errors[] = 'session.cookie_httponly应该设置为On';
    }

    return $errors;
}

// 执行安全检查
$securityErrors = checkSecuritySettings();
if (!empty($securityErrors)) {
    error_log('安全问题: ' . implode(', ', $securityErrors));
}
?>