php安全编码规范
1.配置
php.ini基本安全配置
1.1应启用“cgi.force_redirect”
cgi.force_redirect在php.ini中修改，默认是开启的，它可以防止当PHP运行的CGI脚本未经验证的访问。在IIS，OmniHTTPD和Xitami上是禁用的，但在所有其他情况下它应该打开。
; php.ini
cgi.force_redirect=1 ;
1.2应禁用“enable_dl”
该指令仅对Apache模块版本的PHP有效。你可以针对每个虚拟机或每个目录开启或关闭dl()动态加载PHP模块。关闭动态加载的主要原因是为了安全。通过动态加载，有可能忽略所有open_basedir限制。默认允许动态加载，除了使用安全模式。在安全模式，总是无法使用dl()。
; php.ini
enable_dl=0 ;
1.3应禁用“file_uploads”
file_uploads默认是开启的，允许将文件上传到您的站点。因为来自陌生人的文件本质上是不可信甚至危险的，除非您的网站绝对需要，否则应禁用此功能。如果开启请进行相应的限制，参考upload_max_filesize, upload_tmp_dir,和post_max_size。
; php.ini
file_uploads = 0 ;
1.4通过“open_basedir”限制文件访问权限
open_basedir默认是打开所有文件，它将 PHP 所能打开的文件限制在指定的目录树，包括文件本身。本指令不受安全模式打开或者关闭的影响。当一个脚本试图用例如 fopen() ,include或者 gzopen() 打开一个文件时，该文件的位置将被检查。当文件在指定的目录树之外时 PHP 将拒绝打开它。所有的符号连接都会被解析，所以不可能通过符号连接来避开此限制。
open_basedir应该配置一个目录，然后可以递归访问。但是，应该避免使用. （当前目录）作为open_basedir值，因为它在脚本执行期间动态解析特殊值 . 指明脚本的工作目录将被作为基准目录，但这有些危险，因为脚本的工作目录可以轻易被 chdir() 而改变。
在 httpd.conf 文件中，open_basedir 可以像其它任何配置选项一样用“php_admin_value open_basedir none”的方法关闭（例如某些虚拟主机中）。在 Windows 中，用分号分隔目录。在任何其它系统中用冒号分隔目录。作为 Apache 模块时，父目录中的 open_basedir 路径自动被继承。
用 open_basedir 指定的限制实际上是前缀，不是目录名。也就是说“open_basedir = /dir/incl”也会允许访问“/dir/include”和“/dir/incls”，如果它们存在的话。如果要将访问限制在仅为指定的目录，用斜线结束路径名。例如：“open_basedir = /dir/incl/”。
; php.ini
open_basedir="${USER}/scripts/data" ;
1.5应禁用“session.use_trans_sid”
默认为 0（禁用）。当禁用cookie时，如果它开启，PHP会自动将用户的会话ID附加到URL。基于 URL 的会话管理比基于 cookie 的会话管理有更多安全风险，从表面上看，这似乎是让那些禁用cookie的用户正常使用您的网站的好方法。实际上，它使那些用户容易被任何人劫持他们的会话。例如用户有可能通过 email 将一个包含有效的会话 ID 的 URL 发给他的朋友，或者用户总是有可能在收藏夹中存有一个包含会话 ID 的 URL 来以同样的会话 ID 去访问站点。也可以从浏览器历史记录和服务器日志中检索URL获取会话ID。
; php.ini
session.use_trans_sid = 0 ;
1.6会话管理cookie不能是持久的
没有固定生命周期或到期日期的Cookie被称为非持久性或“会话”cookie，这意味着它们只会持续与浏览器会话一样长，并且在浏览器关闭时会消失。具有到期日期的Cookie叫做“持久性”Cookie，他们将被存储/保留到这些生存日期。
管理网站上的登录会话应用非持久性cookie。要使cookie非持久化，只需省略该 expires属性即可。也可以使用session.cookie_lifetime实现。
1.7应禁用"allow_url_fopen"和"allow_url_include"
allow_url_fopen和allow_url_include默认是开启的，他们允许代码从URL中读入脚本。从站点外部吸入可执行代码的能力，加上不完美的输入清理可能会使站点裸露给攻击者。即使该站点的输入过滤在今天是完美的，但不能保证以后也是。
; php.ini
allow_url_fopen = 0
allow_url_include = 0
2.编码
php安全编码建议
2.1慎用sleep()函数
sleep()有时用于通过限制响应率来防止拒绝服务（DoS）攻击。但是因为它占用了一个线程，每个请求需要更长的时间来服务，这会使应用程序更容易受到DoS攻击，而不是减少风险。
if (is_bad_ip($requester)) {
sleep(5); // 不合规的用法
}
2.2禁止代码动态注入和执行
eval()函数是一种在运行时运行任意代码的方法。 函数eval()语言结构是非常危险的，因为它允许执行任意 PHP 代码。因此不鼓励使用它。如果您仔细的确认过，除了使用此结构以外别无方法,请多加注意，不要允许传入任何由用户提供的、未经完整验证过的数据。
eval($code_to_be_dynamically_executed) // 不合规的用法
2.3禁止凭据硬编码
因为从编译的应用程序中提取字符串很容易，所以永远不应对凭证进行硬编码。对于分发的应用程序尤其如此。 凭据应存储在受强保护的加密配置文件或数据库中的代码之外。
// 合规的用法
$uname = getEncryptedUser();
$password = getEncryptedPass();
connect($uname, $password);
// 不合规的用法
$uname = "steve";
$password = "blue";
connect($uname, $password);
2.4禁止危险函数
有时候，我们不希望执行包括system()等在那的能够执行命令的php函数，或者能够查看phpinfo信息的
phpinfo()等函数，那么我们就可以禁止它们：
disable_functions = system,passthru,exec,shell_exec,popen,phpinfo
如果你要禁止任何文件和目录的操作，那么可以关闭很多文件操作
disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown
以上只是部分常用的文件处理函数，你也可以把上面执行命令函数和这个函数结合，应该就能够抵制大部分的phpshell了。
3、常见漏洞安全编码
3.1 低版本框架、库漏洞
安全方法： 此类安全问题应使用稳定的高版本框架、库进行开发。
3.2 Command Injection
安全方法： 无法规避此类功能时，应使用白名单控制：
if(isset($_POST["target"]))
{
$target = $_POST["target"];
switch ($target) {
case "www.protect.domain": echo "" . shell_exec("nslookup www.protect.domain") . "";
break;
case "web.protect.domain": echo "" . shell_exec("nslookup web.protect.domain") . "";
break;
...
default: echo "" . shell_exec("nslookup www.protect.domain") . "";
}
}
3.3 SQL Injection
安全方法：
注意： 不论项目是否使用了框架，涉及到的表名、字段名用户可控时，均应先使用白名单对此类数据进行处理:
switch ($order){
case "id": $order="id";
break;
case "name":$order="name";
break;
default :$order="id";
}
a、未使用框架时，可使用提供的安全方法：
//查询
$result=$this->db->select()->from("table_name")->where("id","=",$id)->execute()->fetchAll();
//删除
$result=$this->db->delete()->from("table_name")->where("name","like","%".$name."%")->execute();
//插入
$result=$this->db->insert(array("name","age"))->into("table_name")->values(array($name,$age))->execute();
//更新
$result=$this->db->update(array("name" => $name))->table("table_name")->where("id", "=", $id)->execute();
b、使用Yii、laravel、CodeIgniter框架时，可使用框架自带的数据库访问方法。Yii 2.0
//查询
Users::find()->where(["id"=>$id])->orderBy("name")->select("id,name")->one();
//插入
$user=new Users();
$user->age=$age;
$user->name=$name;
$user->save();
//单条更新
$use=Users::find()->where(["id"=>$id])->orderBy("name")->select("id,name")->one();
$use->name=$name;
$use->save();
//多条更新
$result=Users::find()->where([">","id",$id])->orderBy("name")->select("id,name")->all();
foreach ($result as $item){
$item->name=$name;
$item->save();
}
//删除
Users::deleteAll(["id"=>$id]);
Laravel
//查询
DB::table("table_name")->where("id",$id)->orderBy("id")->get();
//插入
DB::table("table_name")->insert(["name" => $name, "age" => $age]);
//更新
DB::table("table_name")->where("id", $id)->update(["name" => $name]);
//删除
DB::table("table_name")->where("age", $age)->delete();
CodeIgniter
//查询
$result = $this->db->select("*")->from("table_name")->where("userid", $userid)->order_by("id")->get();
//插入
$this->db->insert("table_name", array("title" => $title, "userid" => $userid));
//更新
$this->db->where("id",$id)->update("table_name", array("name" => $title, "age" => $age));
//删除
$this->db->where("id", $id)->delete("table_name");
3.4 XSS
安全方法：a、用户可控数据不需存储直接响应的，应编码输出。
// html实体编码输出
$this->securityUtil->encodeForHTML($data);
// javascript编码输出
$this->securityUtil->encodeForJavaScript($data)
b、用户可控数据需存储展示或用于其他系统展示的，应过滤危险字符。
$this->securityUtil->purifier($_GET["data"]);
注意： 输入过滤会改变用户输入。应结合具体业务场景搭配使用输入过滤、输出编码。
3.5 CSRF
安全方法：
前端应从cookie中获取在认证通过后植入的csrf_token，并以POST方式提交包含csrf_token值的请求，前端代码如下：
function getCookie() {
var value = "; " + document.cookie;
var parts = value.split("; csrf_token=");
if (parts.length == 2)
return parts.pop().split(";").shift();
}
$.ajax({
type: "post",
url: "/xxxx",
data: {csrf_token:getCookie()},
dataType: "json",
success: function (data) {
if (data.ec == 200) {
//do something
}
}
});
后端应从POST请求体中提取csrf_token参数值，进行校验，代码如下：
if(!$this->securityUtil->verifyCSRFToken()){
return ; //csrf token 校验失败
}
// 开始处理业务逻辑
注意: 受csrf_token生成方式影响，当存在XSS时，会导致全局CSRF防护措施失效。
3.6 URL Redirect
安全方法： 此类安全问题服务端应根据具体的业务需求防止不安全的重定向：a、如果跳转后的链接比较少且比较固定，那么可以在服务端对参数进行白名单限制，非白名单里面的URL禁止跳转。
$index=intval($_GET["index"]);
switch($index){
case 1: $url="https://www.protect.domain/";
break;
case 2: $url="https://web.protect.domain/";
break;
...
default: $url="https://web.protect.domain/";
}
header("Location:".$url);
当链接比较多时，可根据索引从数据库检索。b、如仅希望在当前域跳转，或因业务需要，跳转的链接经常变化且比较多，应做个二次确认页，对非当前域的链接，提示用户将跳转到其他网站：
$white=[".protect.domain"];
//校验是否为信任域
if(!$this->securityUtil->verifyRedirectUrl($url,$white)){
// 非信任域名，提供二次确认页
}
// 开始处理业务逻辑
3.7 路径可控
安全方法： 无法规避外界指定路径名时，应使用白名单处理：
$directory = $_GET["directory"];
switch ($directory) {
// $directory重新赋值
case "./image":$directory="./image";
break;
case "./page":$directory="./page";
break;
...
default:$directory="./image";
}
while($line = readdir($directory))
{
//do something
}
3.8 Code Injection
安全方法： 无法规避此类功能时，应精确匹配用户提交数据：
$name=strval($_POST["name"]);
$regex="/^[a-zA-Z0-9]{3,20}$/";
if(preg_match($regex,$name,$matches) && $matches[0]===$name)
{
eval ("echo '" . $name . "';");
}
3.9 Xpath Injection
安全方法： 此类安全问题应精确匹配用户输入：
if(isset($_POST["login"]) && $_POST["login"]){
if(isset($_POST["password"]) && $_POST["password"]){
$login = strval($_POST["login"]);
$password = strval($_POST["password"]);
$xml = simplexml_load_file("./heroes.xml");
$regex="/^[a-zA-Z0-9]{3,20}$/";
if(preg_match($regex,$login,$match_login) && $match_login[0]===$login){
if(preg_match($regex,$password,$match_password) && $match_password[0]===$password){
$result = $xml->xpath("/heroes/hero[login= '" . $login . "' and password= '" . $password . "' ]");
//业务逻辑
}
}
}
}
3.10 资源泄露
安全方法： 此类安全问题应在相关操作完成后释放资源：
$file = fopen("file.txt", "w") or die("Unable to open file!");
...
//关闭由fopen()函数打开的文件
fclose($file);
3.11 XXE
安全方法： 此类安全问题应在解析XML数据时显式禁止加载外部实体：
//禁止加载外部实体
libxml_disable_entity_loader(true);
//解析xml数据
$xml = simplexml_load_string($data);
3.12 SSRF
安全方法： 应校验传入ip地址是否为内部ip：
if (!$this->securityUtil->verifySSRFURL($url)) {
return ; //内部ip
}
//开始处理业务逻辑
3.13 敏感信息泄露
安全方法： 此类安全问题应在代码上线之前删除注释信息（特别是敏感信息）,合理设置忽略文件:
a、gitlab/github项目根目录新建文档 .gitignore，内容可参考.gitignore
b、SVN新建文档.svnignore，内容可参考.gitignore,执行：
svn propset svn:ignore -R -F .svnignore .
注意： 当使用add的时候，禁止使用：
svn add *
这样会把忽略中的文件也添加到仓库。应使如下命令：
svn add --force .
3.14 越权漏洞
安全方法： 涉及到用户数据的增删改查，应校验数据归属：
$articleId=$_GET["articleId"];
//用户登录状态下，从session取出用户唯一标识userid
$userId = session("userId");
...
//关联用户信息执行数据库操作
$stmt = $db->prepare("UPDATE articles SET del_flag=1 WHERE articleId=? ANS userId=?");
$stmt->bind_param("ss",$articleId, $userid);
$stmt->execute();
3.15 MongoDB Injection
安全方法： 涉及到MongoDB的操作，应禁用execute方法，校验数据类型：
$appId = $this->request->post("appId");
$num = $this->request->post("num");
...
//校验数据类型
if(!is_array($appId)&&!is_array($num))
{
$criteria = ["appId" => $appId, "num" => $num];
$ret = $this->mongodb->findOne($criteria);
}
预期数据类型明确的(如商品数量),应在接收用户提交数据时直接强制数据类型转换，避免因校验不严谨可能带来的其他问题。
3.16 弱类型漏洞
安全方法：
注意:a、涉及多字符串拼接进行md5运算时，应在各拼接字符串之间添加分隔符：
//避免md5("1234"."14"."234")===md5("1234"."1"."4234")
md5($secret . "|" . $uid . "|" . $code);
b、涉及到函数返回结果既可能是布尔值（FALSE)，也可能是等同于布尔值(FALSE)的非布尔值且返回结果用于判断时，需显式判断执行结果
以内置函数strpos为例：
int strpos ( string $haystack , mixed $needle [, int $offset = 0 ] )
该函数：1）返回$needle在$haystack中首次出现的数字位置；2）未找到时返回布尔值FALSE；3）当$needle在$haystack起始位置出现时，会返回0.
则安全编码应为：
$domain="https://www.protect.domain";
//禁止 if(!strpos($domain,"https")) 或 if(strpos($domain,"https")!=false)的方式
if(strpos($domain,"https")!==false){
//处理业务逻辑
}
此类安全问题应使用=== 代替 == , !== 代替 !=。
if (isset($_GET["id"]) && isset($_GET["userId"])) {
$id = strval($_GET["id"]);
$userId = strval($_GET["userId"]);
//防止出现 md5("240610708")==md5("QNKCDZO")
if (md5($id) !== md5($userId)) {
return ;
}
//业务逻辑
}
3.17 任意文件上传
安全方法： 此类安全问题应校验上传文件大小、后缀、类型等是否符合要求：
$config=array('limit'=>5 * 1024 * 1024, //允许上传的文件最大大小
'type'=>array( //允许的上传文件后缀及MIME
"gif"=>"image/gif",
"jpg"=>"image/jpeg",
"png"=>"image/png")
);
$file = $_FILES["file"];
$data=$this->securityUtil->verifyUploadFile($file, $config);
if($data['flag']!==true){
return; //上传失败
}
//生成新的文件名拼接$data['ext']上传到文件服务器
3.18 本地文件包含
安全方法： 无法规避外界指定文件名时，应使用白名单处理：
$filename =$_GET["filename"];
switch ($filename) {
case "lfi.txt":include("./lfi.txt");
break;
...
default:include("./notexists.txt");
}
3.19 并发问题
安全方法：php+mysql(InnoDB、REPEATABLE-READ)
此类安全问题在已使用事务的前提下，应使用悲观锁或乐观锁解决：
悲观锁：
mysqli_query($conn, "BEGIN");
$rs = mysqli_query($conn, "SELECT num FROM oversold WHERE id = 1 FOR UPDATE "); //for UPDATE
$row = mysqli_fetch_array($rs);
$num = $row[0];
if($num>0)
{
//do something
mysqli_query($conn, "UPDATE oversold SET num = num - 1 WHERE id = 1");
}
if(mysqli_errno($conn)) {
mysqli_query($conn, "ROLLBACK");
} else {
mysqli_query($conn, "COMMIT");
}
mysqli_close($conn);
SELECT ... FOR UPDATE加悲观锁，保证总是获取最新的数据,适合写入频繁的场景.
乐观锁： 需使用一个新的字段version保存版本号：
mysqli_query($conn, "BEGIN");
$result = mysqli_query($conn, "SELECT num,version FROM oversold WHERE id = 1 ");
$row = mysqli_fetch_array($result);
$num = $row[0];
$version=$row[1];
if($num>0)
{
//do something
$stmt=$conn->prepare("UPDATE oversold SET num = num - 1,version=version+1 WHERE id = 1 AND version= ? ");
$stmt->bind_param("i",$version);
$stmt->execute();
}
if(mysqli_errno($conn)) {
mysqli_query($conn, "ROLLBACK");
} else {
mysqli_query($conn, "COMMIT");
}
mysqli_close($conn);
乐观锁比较适合数据修改比较少，读取比较频繁的场景。
注意: 悲观锁会带来比较大的性能开销，而乐观锁可能会读取到脏数据，具体采用哪种加锁方式可根据具体业务场景确定。
php+redis
当redis版本不小于2.6.12时，应使用set指令限流避免并发问题。set指定用法如下：
redis > SET KEY VALUE [EX seconds] [PX milliseconds] [NX|XX]
● EX seconds - 设置指定的过期时间，单位为秒。
● PX milliseconds - 设置指定的过期时间，单位为毫秒。
● NX - 仅当KEY不存在时，设置KEY的值为VALUE。
● XX - 仅当KEY存在时，设置KEY的值为VALUE。
代码示例：
$res=$redis->set($key, $value, ["nx", "px"=>$ps]);
if(!$res){
throw new Exception("操作太快了，请稍后再试！");
}
//开始处理业务逻辑
以上代码，在$ps毫秒内，对指定的$key，仅允许执行一次业务逻辑。
注意： 涉及到的key应结合具体业务场景注意key过期时间的设置，防止key的膨胀。
3.20 WebSocket跨站劫持
安全方法： 此类安全问题服务端应校验Origin头：
$origin="https://www.protect.domain/";
...
function CheckOrigin(){
if (array_key_exists("Origin", $_SERVER)) {
$value = $_SERVER["Origin"];
if($origin===$value){
return ture;
}
}
return false;
}
