PHP实践教程之过滤、验证、转义与密码详解
本文主要给大家介绍的是关于php实践之过滤、验证、转义与密码等相关的内容,分享出来供大家参考学习,下面话不多说了,来一起看看详细的介绍:
一、过滤、验证和转义
1).不要相信任何来自不受自己直接控制的数据源中的数据。包括但不限于:
- $_get
- $_post
- $_request
- $_cookie
- $argv
- php://stdin
- php://input
- file_get_contents()
- 远程数据库
- 远程api
- 来自客户端的数据
2).解决办法:过滤输入。删除不安全的字符,在数据到达应用的存储层之前,必须过滤数据。需要过滤的数据包括不限于:html、sql查询和用户资料信息。
- html:使用
htmlentities()
函数过滤html成对应的实体。这个函数会转义制定字符的html字符,以便在存储层安全的渲染。正确的使用方式是使用htmlentities($input, ent_quotes, 'utf-8')
过滤输入。或者使用html purifier。缺点是慢 - sql查询: 有时必须根据数据构建sql查询。这时要要使用pdo预处理语句过滤外部数据。
- 用户资料信息:使用
filter_var()
和filter_input()
过滤用户资料信息
3).验证数据:也可以使用filter_var()
,验证成功返回要验证的值,失败返回false。但是这个函数无法验证所有数据,所以可以使用一些验证功能组件。例如aura/filter或者symfony/validator
4)转义输出:任然可以使用htmlentities这个函数,一些模板引擎也自带了转义功能。
密码
1).绝对不能知道用户的密码。
2).绝对不要约束用户的密码,要限制的话只限制最小长度。
3).绝对不能使用电子邮件发送用户的密码。你可以发送一个修改密码的链接,上面带一个token验证是用户本人就行了。
4).使用bcrypt计算用户密码的哈希值。加密和哈希不是一回事,加密是双向算法,加密的数据可以被解密。但是哈希是单项算法,哈希之后的数据无法被还原,想同的数据哈希之后得到的数据始终是相同的。使用数据库存储通过bcrypt哈希密码之后的值。
5).使用密码哈希api简化计算密码哈希和验证密码的操作。下面的注册用户的一般操作
post /register.php http/1.1 content-length: 43 content-type: application/x-www-form-urlencoded email=xiao@hello.world&password=nihao
下面是接受这个请求的php文件
<?php try { $email = filter_input(input_post, 'email', filter_validate_email); if (!$email) { throw new exception('invalid email'); } $password = filter_iput(input_post, 'password'); if (!$password || mb_strlen($password) < 8) { throw new exception('password must contain 8+ characters'); } //创建密码的哈希值 $passwordhash = password_hash( $password, password_default, ['cost' => 12] ); if ($passwordhash === false) { throw new exception('password hash failed'); } //创建用户账户,这里是虚构的代码 $user = new user(); $user->email = $email; $user->password_hash = $passwordhash; $user->save(); header('http/1.1 302 redirect'); header('location: /login.php'); } catch (exception $e) { header('http1.1 400 bad request'); echo $e->getmessage(); }
6).根据机器的具体计算能力修改password_hash()
的第三个值。计算哈希值一般需要0.1s-0.5s。
7).密码的哈希值存储在varchar(255)
类型的数据库列中。
8).登录用户的一般流程
post /login.php http1.1 content-length: 43 content-type: application/x-www-form-urlencoded email=xiao@hello.wordl&pasword=nihao
session_start(); try { $email = filter_input(input_post, 'email'); $password = filter_iinput(input_post, 'password'); $user = user::findbyemail($email); if (password_verify($password, $user->password_hash) === false) { throw new exception(''invalid password); } //如果需要的话,重新计算密码的哈希值 $currenthasalgorithm = password_default; $currenthashoptions = array('cost' => 15); $passwordneedsrehash = password_needs_rehash( $user->password_hash, $currenthasalgorithm, $currenthasoptions ); if ($passwordneedsrehash === true) { $user->password_hash = password_hash( $password, $currenthasalgorithm, $currenthasoptions ); $user->save(); } $_session['user_logged_in'] = 'yes'; $_session['user_email'] = $email; header('http/1.1 302 redirect'); header('location: /user-profile.php'); } catch (exception) { header('http/1.1 401 unauthorized'); echo $e->getmessage(); }
9).php5.5.0版本之前的密码哈希api无法使用,推荐使用ircmaxell/password-compat组件。
总结
以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作能带来一定的帮助,如果有疑问大家可以留言交流,谢谢大家对的支持。
推荐阅读
-
PHP实践教程之过滤、验证、转义与密码详解
-
PHP实践教程之过滤、验证、转义与密码详解
-
最佳实践系列(四)-- PHP 安全三板斧:过滤、验证和转义之验证篇 & Laravel底层字段验证实现
-
最佳实践系列(四)-- PHP 安全三板斧:过滤、验证和转义之验证篇 & Laravel底层字段验证实现
-
最佳实践系列(四)-- PHP 安全三板斧:过滤、验证和转义之验证篇 & Laravel底层字段验证实现
-
【最佳实践系列】PHP 安全三板斧:过滤、验证和转义之转义篇 & Blade模板引擎避免XSS攻击原理探究
-
【最佳实践系列】PHP 安全三板斧:过滤、验证和转义之转义篇 & Blade模板引擎避免XSS攻击原理探究
-
php中关于过滤和验证以及转义与密码的实践教程
-
php中关于过滤和验证以及转义与密码的实践教程
-
最佳实践系列(四)-- PHP 安全三板斧:过滤、验证和转义之验证篇 & Laravel底层字段验证实现