WEB安全之PHP安全开发 博客系统（一）：表的创建和登录页面制作与Session权限验证

表的创建

• 安装下载php
  
• 首先创建一个网站
• 先启动web服务
  
  
• 创建数据库
  
  
• 完成
  
• 选择SQL创建数据库
  
• 新建表格——系统表
  
• 默认字段是Id，要把大写改为小写id
  
• 继续新增字段
  
  
  
  
• 继续新建第二张表——文章表
  
  
  
  

• 在新建一个表——分类表
  
  
  
  
  
  
  
  
  
• 创建用户表users
  
  
  
  
  
  

登录页面制作

• 下载安装PhpStorm
  
  
  
  
• 新建项目，选择博客网站目录
  
• PHP给的默认页面
  
• 分为前台和后台
• 给后台建一个目录
  
• 创建登陆logo的页面
  
• 里面还有一些公有的文件
• 再新建一个目录放配置文件
  
• 创建配置文件
  
• 创建前台index页面
  
• 在公有函数文件夹下创建function文件
  
• 做启动的文件
  
• 用到的引擎是mysqli
• 新建配置文件
• 给一个赋值，把连接信息放到conn
• 假若连接不上，让其报错
• 报错（让其直接退出），给提示
  
• 设计数据库输入格式
  
• 访问http://www.myblog.com/configs/config.php无报错，就是可以成功连接
  
• 前台较为简单，把后台做完再做前台

后台的制作

• 把config文件引用过来
  
• 前台也一样，建立init
  
  
• 包含进来，我们也可以用到里面的信息
  
  

制作登录页面

• 
• 成功访问本地登陆页面
  
  
  
• 使用户和密码分行纵向排列
  
  
• 点击文字跳转到输入框
  
• 补充缺少的提交
• colspan表格的单元横跨两列的表格
  
  
• 若想让其居中，给一个div
• 宽度，自动居中
  
  

书写代码逻辑

• 在其中写sql语句
  
• 添加值
  
• 获取密码密文
  
  
• 做一个查询
• 登陆框post提交
  
• 并赋值
  
  
  
• 写一个条件判断
  
  
• 
  
• 登陆失败，一访问信息自动执行，所以失败
• 赋值提交，把整段代码放进去
  
  
• 输入账号和密码看是否设置成功
  
  
• 可能存在注入
• 获取关联数组
  
• 打印出来判断是不是我们要查询的内容
  
  
  
• 可以进行有效注入
  
  
  
• 所以要在函数中做判断
• 过滤字符串，转义
  
• 假若有空格，去掉空格
  
• 把引号转义，转义成’
• 无延迟
  
  
  

Session权限验证

• Session用的多，Cookie可伪造
• 链接: PHP Session变量
• “您在计算机上操作某个应用程序时，您打开它，做些更改，然后关闭它。这很像一次对话（Session）。计算机知道您是谁。它清楚您在何时打开和关闭应用程序。然而，在因特网上问题出现了：由于 HTTP 地址无法保持状态，Web 服务器并不知道您是谁以及您做了什么。
  PHP session 解决了这个问题，它通过在服务器上存储用户信息以便随后使用（比如用户名称、购买商品等）。然而，会话信息是临时的，在用户离开网站后将被删除。如果您需要永久存储信息，可以把数据存储在数据库中。
  Session 的工作机制是：为每个访客创建一个唯一的 id (UID)，并基于这个 UID 来存储变量。UID 存储在 cookie 中，或者通过 URL 进行传导。”
• 
  
  
  
  
  
  
• 有Session文件存在
  
• 打开就是一个字符串，长度为5
• usernamels:5:“admin”;
• 可随时调动，在其他php都可以调用进行判断
• 用来做权限验证