如何制作高度安全的PHP网站，制作网站需要注意的安全问题汇总
.png)
大家都知道PHP是目前最流行的Web应用程序编程语言。但与其他脚本语言一样，PHP 也存在一些危险的安全漏洞。因此，在本教程中，我们将了解一些实用技巧，以帮助您避免一些常见的 PHP 安全问题。这是一个巨大的错误，因为正确的错误报告不仅是最好的调试工具，也是优秀的安全漏洞检测工具。有几个 PHP 属性需要设置为 OFF。特别是在 PHP6 中，这些属性被删除了。从警方近期破获曝光的大量案件来看，公民个人信息的泄露、收集、倒卖已经形成了一条完整的黑色产业链。同时，易宝支付积极配合多地警方，严厉打击个人信息贩卖团伙。保护个人信息安全任重而道远。
大家都知道PHP是目前最流行的Web应用程序编程语言。 但与其他脚本语言一样，PHP 也存在一些危险的安全漏洞。 因此，在本教程中，我们将了解一些实用技巧，以帮助您避免一些常见的 PHP 安全问题。
提示 1：使用正确的错误报告
一般在开发过程中，很多程序员总是忘记进行程序错误报告。 这是一个巨大的错误，因为正确的错误报告不仅是最好的调试工具，也是优秀的安全漏洞检测工具。 这可以让您在将应用程序上线之前尽可能多地了解您会遇到的问题。
当然开启错误报告的方式有很多种。比如在php.in配置文件中你可以设置为运行时开启
开始报错
错误报告（E_ALL）；
禁用错误报告
错误报告（0）；
技巧2：不要使用PHP的Weak属性
有几个 PHP 属性需要设置为 OFF。 一般来说，它们在PHP4中存在，但在PHP5中不建议使用。 特别是在 PHP6 中，这些属性被删除了。
当register_globals设置为ON时，相当于设置Environment、GET、POST、COOKIE或Server变量被定义为全局变量。 这时候就不需要写$_POST['username']来获取表单变量'username'。 您只需要“$username”即可获取此变量。
那么你一定在想，既然将register_globals设置为ON有这么方便的好处，为什么不使用它呢？ 因为如果这样做的话会导致很多安全问题，而且还可能和局部变量名冲突。
例如，看一下下面的代码：
if( !empty( $_POST[‘username'] ) && $_POST[‘username'] == ‘test123′ && !empty( $_POST[‘password'] ) && $_POST[‘password'] == “pass123″ )
{
$access = true;
}
如果在运行时将 register_globals 设置为 ON，则用户只需在查询字符串中传递 access=1 即可获取 PHP 脚本运行的任何内容。
禁用 .htaccess 中的全局变量
php_flag register_globals 0
登录后复制
停用 php.ini 中的全局变量
register_globals = Off
登录后复制
禁用 Magic Quotes，例如 magic_quotes_gpc、magic_quotes_runtime、magic_quotes_sybase
在 .htaccess 文件中设置
php_flag magic_quotes_gpc 0 php_flag magic_quotes_runtime 0
登录后复制
在php.ini中设置
magic_quotes_gpc = Off magic_quotes_runtime = Off magic_quotes_sybase = Off
登录后复制
提示 3：验证用户输入
您当然也可以验证用户输入，但首先您必须知道期望用户输入的数据类型。 这样，你就可以在浏览器端做好准备，防止用户对你进行恶意攻击。
技巧 4：保护用户免受跨站脚本攻击
在Web应用程序中，它只是接受用户在表单中的输入，然后反馈结果。 在接受用户输入时，允许HTML格式输入是非常危险的，因为这也会让JavaScript以不可预知的方式侵入并直接执行。 即使只有一个这样的漏洞，cookie数据也可能被盗，用户的账户也可能被盗。
技巧 5：防止 SQL 注入攻击
PHP基本上没有提供任何工具来保护你的数据库，所以当你连接数据库时，你可以使用下面的mysqli_real_escape_string函数。
$username = mysqli_real_escape_string( $GET[‘username'] ); mysql_query( “SELECT * FROM tbl_employee WHERE username = '”.$username.“‘”);
登录后复制
今年6月开始，《中华人民共和国网络安全法》正式实施。 这是我国第一部规范网络空间秩序的基本法，也是我国网络空间建设的里程碑事件。 值得注意的是，个人信息安全保护成为《网络安全法》的一大亮点，多条规定从不同方面明确了个人信息收集和保护的要求。
有法律可以更进一步，按照网络法规
自1994年接入全球互联网以来，我国已成为互联网“世界第一大国”。 随着互联网的快速发展，安全风险和问题日益突出。 随着“信息”、“数据”逐渐成为人们日常谈论的高频词，信息安全受到越来越多的关注。 此次正式实施的《网络安全法》为保护个人提出了个人信息保护的基本原则和要求，对于加强个人信息保护发挥了至关重要的作用。 对信息保护和非法买卖个人信息的处罚作出了明确规定。 这无疑为网民个人信息提供又一把“安全锁”，使个人信息保护在网络空间合法化。
首先，《网络安全法》进一步界定了“公民个人信息”。 将包括电子商务、社交网络、搜索、地图、直播、云及全平台账户密码在内的信息纳入“公民个人信息”范围，并明确了非法获取、出售个人信息的相应处罚。
其次，《网络安全法》明确规定了用户的“知情同意”：“网络产品、服务具有收集用户信息功能的，其提供者应当向用户明确并取得同意”。
三是《网络安全法》进一步提高了对企业安全技术能力的要求。 “我们在提供互联网服务的同时，有能力采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络的完整性、保密性和可用性。数据。”
我们任重而道远，共同构筑安全防线
据公安机关和专业统计数据网站2017年1月16日联合发布的《2016年网络诈骗趋势研究报告》显示，2016年网络诈骗给受害人造成的人均损失达9471元。 从警方近期破获曝光的大量案件来看，公民个人信息的泄露、收集、倒卖已经形成了一条完整的黑色产业链。
当前，网络安全威胁来源日趋复杂，犯罪分子的攻击手段和技术工具不断升级。 贯彻落实《网络安全法》，保障个人信息安全，不仅需要政府和企业共同努力，在管理、技术等方面构筑坚强的安全防线，增强用户的能力也至关重要'信息安全意识和提高信息安全技能。
目前，国内大多数互联网公司利用各自的优势来保护用户个人信息的安全。 作为中国电信旗下第三方支付平台，易付宝凭借自身优势，为用户提供安全、稳定的服务。 截至目前，支付宝已建立起包括监管平台、生态合作、风控运营、核心风控决策在内的完整风控体系。 同时，易宝支付积极配合多地警方，严厉打击个人信息贩卖团伙。 迄今为止，已参与打击5个大型犯罪团伙，保护了数亿用户的信息。 今年5月，易宝支付携手众安保险推出“电信诈骗保险”，应对多发的电信诈骗案件，为被骗方提供后续赔偿，减少用户的经济损失。
养成详细的习惯非常重要，可以在问题发生之前将其消灭。
保护个人信息安全任重而道远。 政府和企业共同加强管理和技术的同时，用户也必须增强保护个人隐私的意识，加强个人信息安全保护。 支付宝安全专家戴卓伟表示：“互联网不断带来便捷体验的同时，用户更应该关注个人信息安全保护的细节。” 信息安全已成为大数据时代社会发展的基石。
以第三方支付用户“绑定卡”为例，戴卓伟向记者解释道：“基于产品便利性设计，用户只需提供身份证号、银行卡号和银行预留手机号即可绑定银行第三方平台可以发送验证短信来验证您的身份，在此过程中，验证短信码与提现密码一样重要。 面对验证短信泄露的威胁，戴卓伟强调：“当前，黑客和不法分子向用户发送钓鱼、诈骗短信链接，窃取用户信息的方法比较普遍，建议用户使用手机安全软件并注意识别假基站隐患。”
此外，支付宝提醒用户从手机使用习惯细节入手，保护个人信息安全：一是不要在所有网站使用相同的账号和密码，养成定期更换密码的习惯； 二、设置手机解锁密码，建议安装手机安全软件； 第三，尽量不要使用公共无线Wi-Fi； 第四，不要在手机相册中保存证件照，也不在朋友圈等社交平台发布银行卡信息； 第三五、建议您在进行大额转账之前考虑使用延迟到账方式，以便您在发现风险时有足够的时间拦截资金； 第六，不要吝惜几块钱，尽量为自己的财富买一个账户。 七、发生财产损失时，请及时向当地公安机关报告。
