谈谈TP5防渗透攻击的一些经验

概述：

TP5是优秀的轻量级PHP开发框架，为我们的开发提供了很多便捷。但是有时候TP5一些默认配置很容易忽视，不然会导致渗透攻击，本文我来分享一下我的一些小经验

问题列表：

1、关闭调试模式

调试模式为我们开发人员发现错误，查找错误提供了非常友好且便捷的显示方式。但是也为渗透攻击提供了方便，因此我们需要除了测试环境下，其他环境必须关闭该模式。具体位置为config/app.php（根据你的项目实际配置文件位置）app_debug 参数,true为开启，false为关闭。

2、特殊字符过滤

谈到渗透攻击，当然不可忽视的是sql注入、xss跨站脚本攻击这两种攻击，而对于这两种攻击最基础的防护是对特殊字符过滤，比如尖括号、双引号等特殊字符的过滤。其实TP5提供了全局的过滤规则设置，你可以修改设置，就可以实现对特殊字符的过滤。具体位置为config/app.php（根据你的项目实际配置文件位置）default_filter 参数’htmlspecialchars,addslashes,strip_tags’。
参数介绍：
htmlspecialchars：防XSS攻击，尖括号等转义过滤
addslashes：防SQL注入，在每个双引号