php网站开发安全小常识

防注入式攻击：

1.    过滤非法字符 ： -  *|and|exec|insert|select|delete|update|count|master|truncate|declare|char(|mid(|chr(|'

“  /  -  ， | <  >

网站可能由于功能需要部分输入框可能会用到特殊字符, 具体视情况而定.php知识网

2.利用SqlCommand传参数的方法：
string strSQL="SELECT * FROM [user] WHERE user_id=@id";
SqlCommand cmd = new SqlCommand();
cmd.CommandText = strSQL;
cmd.Parameters.Add("@id",SqlDbType.VarChar,20).Value=Request["id"].ToString();

3.
动态存储过程, 会拼接字符串, 一般除了查询可直接用 EXEC的方式, 有更新或者删除操作,还需使用参数的形式


4. 不返回后台的错误信息,仅显示用户友好的提示信息

5. 文件上传,不可指定服务器文件目录,由服务端指定文件夹, 可将上传目录不放在网站根目录下,  上传目录的文件夹权限做限制, 例如如果图片上传后,仅需读取图片,文件夹设置只设置只读权限, 无写或者修改的权限.

6. 数据库访问账号不能使用管理员账号, 列入仅仅是get 数据，可以创建 对应角色，只赋予读取数据的权限。  Update delete 分别创建对应角色。

7． 防XSS 攻击 。后台对关键信息输入需进行验证，前台验证不一定可靠，传输对象可被篡改。例如所有页面后台都需验证登陆信息。

验证所有输入数据，有效检测攻击；对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行。具体如下：
输入验证：某个数据被接受为可被显示或存储之前，使用标准输入验证机制，验证所有输入数据的长度、类型、语法以及业务规则。
输出编码：数据输出前，确保用户提交的数据已被正确进行entity编码，建议对所有字符进行编码而不仅局限于某个子集。
明确指定输出的编码方式：不要允许攻击者为你的用户选择编码方式(如ISO 8859-1或 UTF 8)。
注意黑名单验证方式的局限性：仅仅查找或替换一些字符(如"<" ">"或类似"script"的关键字)，很容易被XSS变种攻击绕过验证机制。
警惕规范化错误：验证输入之前，必须进行解码及规范化以符合应用程序当前的内部表示方法。请确定应用程序对同一输入不做两次解码。


8. 使用HTTPS 而不是用http

9. 用户账号密码加密建议使用SSL加密，MD5可被暴力破解。

10．配置文件中账号密码不能使用明文，需加密 。