Basic PHP Security (PHP安全基础)

译者：落叶

备注：很少翻译东西的，由于能力问题，文中错误或不妥之处望大家指出。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

序言
最近，PHP的安全成为很热门的一个话题，尤其是伴随漏洞利用和安全问题的增加。今时今日，你必须确保你的PHP脚本无懈可击。
要保证你PHP脚本的安全，这些是基础的开始：过滤输入和输出。如果你还没有严格地开展这项工作，你的脚本将经常出现安全问题。阅读本文来了解如何正确的做好这两件事。
过滤所有的输入
当你的脚步读取任何从外部的代码输入，这行为是看作不安全和不被信任的。通常不被信任的变量为： $_POST，$_GET，$_REQUEST 和 $_SERVER ，这些看上去不可靠，同样能够包含危险数据。
在你做进一步处理危险变量之前，你得先证实它可能被过滤。证实工作中你要确保它只包含你想要的数据。例如，一个E-mail地址，程序的函数要确保它是只能是一个合法的E-mail地址。
看一个简单的例子来告诉你们我想说的。在下面的代码中，我用$_POST变量来得到这个E-mail地址，然后继续数据证实。
<?php
$email = $_POST['email']; # 从这一点，它仍然不安全

// 确认E-mail
if (valid_email($email) == false) {
    // Not a valid e-mail address
    die('Invalid E-mail Address!');
}
?>
通过检查数据，我们脚步被注入的可能性已经极大地减小了。valid_email() 是一个标准的函数。
虽然我们的数据已经更安全了，但我们还没完成它，因为我们还需要把数据输入Mysql数据库，也就是说我们必须确保数据传送的安全。PHP有一个能避免所有重要字符的函数——mysql_real_escape_string()。另外一个好的方法是把数据放在SQL查询的字符中（需要数据库允许）。
继续我们先前的例子，看这里：
<?php
$email = $_POST['email']; # 在这里它还是不安全

// 证实E－mail
if (valid_email($email) == false) {
    // 不是一个合法的e-mail
    die('Invalid E-mail Address!');
}

// 确认E－mail对数据库安全
$email = mysql_real_escape_string($email);

// 现在都安全了
?>

现在数据已经安全了, 能不出错的记录进Mysql数据库了. 要帮助避免错误，它是一个能够提供特殊和危险变量加一个前缀的聪明东西。例如：

<?php
$d_Email = $_POST['email']; # Dangerous

// Do validation

$s_Email = mysql_real_escape_string($d_Email);
?>

通过这个你很快会发现，当你尝试提交一个危险的添写一个危险的变量，它将出现一个 d_ variable已经输入。我自己从不用这方法，但你以前习惯这样，它会是一根救命稻草！

避免输出
它就像输入数据一样，甚至当你正从数据库获得“安全”数据（已经通过输入过滤）时，所有的输出同样需要被过滤。我刚刚讨论的变量也必须在显示前被过滤。
HTML 标签是最需要注意过滤的，因为他们会引起许多损害。最简单的方式就是用自动过滤所有HTML的函数—— htmlentities() function ，像这样：
<?php
echo htmlentities($_GET['email']);
?>
这段代码除去了被CSS攻击（攻击者可能将JavaScrip代码注入页面，然后窃取用户的Cookies）的可能性。如果这出现，你需要用 htmlentities函数的第三个自变量。甚至Google也不能免疫漏洞，他们忽略在过滤HTML是忽略了编译，从而引发了XSS攻击。在Chris Shiflett的博客上你可以看到更多关于这个漏洞的信息，不过在根本上你需要一直校正编译类型。
<?php
echo htmlentities($_GET['email'], ENT_QUOTES, 'UTF-8');
?>
如果你不想过滤所有的HTML标签，你可以用strip_tags() 来允许一小部分标签，不过需要注意它可能导致一些安全问题如：JavaScript代码注入到你的页面，即使你没允许 <script>。它仍然可能被利用“<div οnclick="alert('Hi!');">”。
另外种可能是你自己写函数（或者下载一个网络上许多人认为可用的）用来过滤你不想要的。这通常是一个好方法，但是如果你忽略了一些东西，它可能同样导致安全问题。
最后，过滤输出的最好办法是用htmlentities() 的所有三个自变量，不过他们只留下有限的功能。一个解决方法是开发自己能习惯于格式化数据的HTML代码。在 "Create your own BBCode, using PHP"里了解更多关于开发自己的HTML代码的信息。

结尾
这篇文章我讨论了两个PHP变成的基本原则。如果你能掌握这两项，你已经踏上PHP安全的大道了。
我给你们的例子是十分愚蠢和累赘的。我十分建议你们思考自动过滤的方法。你个好方法是写一个能自动做到必要的任务，或者一些函数做的工作。就算留给读者一个练习。
如果你想知道更多的PHP安全知识，参见一些安全建议。
- PHP Security Consortium: 出色的安全向导,包含大量信息. 可谓“必读”!

- Essential PHP Security: 基本的PHP安全书的主要信息, by Chris Shiflett, 它也包含一些免费的章节.

- Hardened-PHP:就其本身而言不仅仅是一个提供PHP安全信息的站点, 同样提供安全咨询。
如果你对本文有疑义，或者想参与PHP安全的讨论，回复，或者进入PHPit的社区。 

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

以上内容为翻文