PHP开发可能会遇到的安全性问题汇总

1. PHP配置文件下的Register Globals

 如果设为on, 会自动将表单提交的参数设为全局变量, 也就是无需手动声明变量, 自动将提交的数组KEY作为变量名, VALUE作为变量值,  这样存在的隐患是用户如果知道某个关键变量名的作用, 这个变量就可被这个用户操控, 所以, 最好是设为OFF.

2. 对所有传到后台的数据都做过滤.

欺骗表单提交: 如果不作过滤, 用户可以手动修改HTML代码, 突破数据限制.如给定的下拉菜单, 给改成任意数值, 后台不作过滤, 就导致数据不符合实际情况.

XSS脚本攻击: 再者, 还可防止XSS脚本攻击, 就是用户通过输入JS代码, 后台没有作过滤, 当后台将这些含有JS代码的数据展示给用户时, 就会触发这些JS脚本.

3. 设置表单令牌.

跨站请求: 用户在站点外对该站点发起请求, 可能会对站点作出恶意操作, 使用表单令牌可解决这个问题.