PHP网站中整体防注入方法
/*
* Author: heiyeluren
* Date: 2005-7-20
* Blog: http://blog.csdn.net/heiyeshuwu
*/
今天写代码的时候猛然想到是不能能够通过一个文件来处理整个网站中所有可能出现注入的地方进行防范呢?这样就能够不用在每个程序里对每个变量进行过滤,节省了时间和代码。
我们主要是从两点出发,因为我们的获取的变量一般都是通过GET或者POST方式提交过来的,那么我们只要对GET和POST过来的变量进行过滤,那么就能够达到防止注入的效果。而且我们的PHP真是非常好,已经内置了$_GET和$_POST两个数组来存储所有变量,我们要做的工作就是过滤每个变量就可以了。
下面看具体的代码:
/*Author: heiyeluren*/
/* 过滤所有GET过来变量 */
foreach ($_GET as $get_key=>$get_var)
{
if (is_numeric($get_var))
if (is_numeric($get_var)) {
$get[strtolower($get_key)] = get_int($get_var);
} else {
$get[strtolower($get_key)] = get_str($get_var);
}
}
/* 过滤所有POST过来的变量 */
foreach ($_POST as $post_key=>$post_var)
{
if (is_numeric($post_var)) {
$post[strtolower($post_key)] = get_int($post_var);
} else {
$post[strtolower($post_key)] = get_str($post_var);
}
}
/* 过滤函数 */
//整型过滤函数
function get_int($number)
{
return intval($number);
}
//字符串型过滤函数
function get_str($string)
{
if (!get_magic_quotes_gpc()) {
return addslashes($string);
}
return $string;
}
那么我们把以上代码放到一个公共的文件里,比如security.inc.php里面,每个文件里都include一下这个文件,那么就能够给任何一个程序进行提交的所有变量进行过滤了,就达到了我们一劳永逸的效果。
另外,还有一些其他的过滤方法,比如采用我以前使用的关键字过滤的方法:http://dev.csdn.net/article/71/71475.shtm
还可以参考三尺寒冰写的方法:http://www.fanghei.com/html/2005-06/20050607114008.htm
方法是不同的,但是核心就是为了我们的代码更加安全。
Author: heiyeluren
Date: 2005-7-20
分享到:
相关推荐
如果想整站防注,就在网站的一个公用文件中,如数据库链接文件config.inc.php中! 添加require_once('waf.php');来调用本代码 常用php系统添加文件 PHPCMS V9 \phpcms\base.php PHPWIND8.7 \data\sql_config.php ...
php通用防注入类
如果想整站防注,就在网站的一个公用文件中,如数据库链接文件config.inc.php中! 添加require_once('waf.php');来调用本代码 常用php系统添加文件 PHPCMS V9 \phpcms\base.php PHPWIND8.7 \data\sql_config.php ...
PHP 防注入防XSS攻击入口过滤
在注入大行其道的互联网,要保护好自己的网站不被别人恶意利用,是需要很多时间和精力,我把我自己最常用的php+mysql 防注入手段写下来,希望会对大家有点用处。
php防注入的两种方法
比较好用的PHP防注入漏洞过滤函数代码
防SQL注入的php,通用防注入类
一个简单的PHP防注入类库,注意要过滤的信息基本是get,post,然后对于sql就是我们常用的查询,插入等等sql命令,就是我们要重点过滤的。
PHP通用防注入安全代码-修改可用、PHP通用防注入安全代码-修改可用、PHP通用防注入安全代码-修改可用
分享一个php防SQL注入的一个类,参数检查并写入日志,SQL注入日志。
简介:<?php /** * 参数处理类 * @author JasonWei */ class Params { public $get = array(); public $post = array...}这是一份很好用的PHP防注入类,需要的朋友可以下载使用
php中防止SQL注入的方法,安全,PHP代码编写是一方面,PHP的配置更是非常关键。
360提供的php防注入代码。支持保存日志到服务器,使用简单方便。有记录攻击日志到文本文件的功能,强烈推荐使用。
360独家防注入跨站脚本攻击漏洞补丁php-asp-jsp
<?php /** * 参数处理类 * @author JasonWei */ class Params { public $get = array(); ...}这是一份很好用的PHP防注入类,需要的朋友可以下载使用
今天写代码的时候猛然想到是不能能够通过一个文件来处理整个网站中所有可能出现注入的地方进行防范呢?这样就能够不用在每个程序里对每个变量进行过滤,节省了时间和代码。 我们主要是从两点出发,因为我们的获取...
360提供的防sql注入 php类库 直接在php文件开头加入include('360_safe3.php'),修正正则表达式,匹配更多的sql关键字
php简洁实现sql防注入的方法_.docx
从360提供的PHP防SQL注入代码改成的一个类,从SQL注入和HTTP跨站两个方面入手,解决网站存在安全风险的问题,希望对朋友们有所帮助。