PHP 是一種非常強大的語言，其解釋器不管是作為 WEB 服務器的模塊還是單獨地以 CGI 程序的形式運行，都能夠訪問文件，執行命令，或者建立到服務器的網絡連接。在默認情況下，這些特性給在 WEB 上運行的機制帶來了安全隱患。針對這一問題，PHP 被設計成一種更加安全的語言，使得其跟 Perl 和 C 語言比起來，更適合用來編寫 CGI 程序。加上其有良好的編譯時和運行時設置選項以及適當的代碼編寫規則，PHP 能夠為您找到您真正需要的自由與安全的結合點。
由于我們可以在很多不同的方面利用 PHP，因此它有很多設置選項來控制其行為。一組龐大的可選參數能夠保證您可以將 PHP 用于許多不同的目的，但這同時也意味著這些參數和服務端配置的組合會帶來一些安全問題。
PHP 的配置與其代碼相比，有著同樣的靈活性。PHP 可以用來建立完整的服務端應用程序，擁有所有外殼用戶的權限；它也可以在被嚴格控制的環境下用作一個簡單的服務端包含，僅承擔很小的風險。您如何建立該環境，以及其安全性如何，在很大程度上取決于 PHP 的開發者。
本系列文章將以一些總的安全建議開始，解釋不同的配置選項組合以及它們能夠被安全的使用的情況，然后針對不同的安全等級要求，描述一些在編寫代碼過程中采取的安全策略。
一般策略
一個絕對安全的系統是不可能實現的，因此一個安全策略的核心通常都是尋求風險與可用性之間的平衡點。如果用戶提交的每個變量都需要兩種生物統計學的校驗（例如視網膜掃描和指紋檢驗），那么我們將會需要進行極其高階的計算。這還可能造成我們需要花費半個小時來填寫一個及其繁瑣的表單，使得用戶更傾向于尋找一些捷徑來繞過這些安全機制。
最好的安全策略通常能夠不那么明顯地適應環境的需求，它不會妨礙用戶完成他們的工作，也不會使代碼編寫員面過分負擔復雜的情形。實際上，一些安全***的成功正是這種過分冗雜的安全機制隨著時間逐漸毀壞的結果。
我們應該記住這樣一句很有價值得話：一個系統充其量僅相當于一條鎖鏈中最薄弱的環節。如果所有的事務的時間、地點、類型等信息都被詳細的寫入日志，但對用戶的認證僅僅只是基于一個單一的 cookie，那么將用戶記入事務日志的有效性就被嚴重地削弱了。
請記住，即時是對最簡單的頁面，您也不可能測試到所有的可能性。您所預料到的輸入可能和來自于一個不滿的雇員，一個***用數月時間或者一只不小心踩到鍵盤的貓所進行的輸入相去甚遠。這也是為什么說我們最好能夠從邏輯的全局上來審視我們的代碼，從而辨別哪里出現不可預料的數據，然后再考慮如何修改、減少或者放大它們。
Internet 上充滿了想試圖通過破壞你的代碼、黑掉你的網站、發布不適合的內容等途徑來揚名立萬的人。不管你的網站是大還是小，只要你在線，有一部可以連接得到的服務器，你就能成為目標。許多***程序并不分辯網站的大小，他們只是簡單地在一大片 IP 范圍內搜羅犧牲者。我們要盡可能不要使自己成為其中的一員.
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
