首页 PHP技术

整理一些php框架Laravel的安全相关规范

• PHP技术 • 阅读 1280

首先我们要明白一个观点就是，没有绝对安全，只有相对安全。Laravel 相较于其他框架在安全方面已经做得很优秀，不过作为开发者，我们要在日常开发中对安全需怀着敬畏之心，积极培养自己的安全意识。

首先我们要明白一个观点就是，没有绝对安全，只有相对安全。laravel 相较于其他框架在安全方面已经做得很优秀，不过作为开发者，我们要在日常开发中对安全需怀着敬畏之心，积极培养自己的安全意识。

一、关闭 DEBUG

laravel Debug 开启时，会暴露很多能被黑客利用的服务器信息，所以，生产环境下请 必须 确保：

APP_DEBUG=false

二、XSS

跨站脚本攻击（cross-site scripting，简称 XSS），具体危害体现在黑客能控制你网站页面，包括使用 JS 盗取 Cookie 等

默认情况下，在无法保证用户提交内容是 100% 安全的情况下，必须 使用 Blade 模板引擎的 {{ $content }} 语法会对用户内容进行转义。

Blade 的 {!! $content !!} 语法会直接对内容进行 非转义 输出。

三、SQL 注入

laravel 的 查询构造器 和 Eloquent 是基于 PHP 的 PDO，PDO 使用 prepared 来准备查询语句，保障了安全性。

在使用 raw() 来编写复杂查询语句时，必须 使用数据绑定。

错误的做法：

Route::get('sql-injection', function() {
    $name = "admin"; // 假设用户提交
    $password = "xx' OR 1='1"; // // 假设用户提交
    $result = DB::select(DB::raw("SELECT * FROM users WHERE name ='$name' and password = '$password'"));
    dd($result);
});

以下是正确的做法，利用 select 方法的第二个参数做数据绑定：

Route::get('sql-injection', function() {
    $name = "admin"; // 假设用户提交
    $password = "xx' OR 1='1"; // // 假设用户提交
    $result = DB::select(
        DB::raw("SELECT * FROM users WHERE name =:name and password = :password"),
        [
            'name' => $name,
            'password' => $password,
        ]
    );
    dd($result);
});

四、批量赋值

laravel 提供白名单和黑名单过滤（$fillable 和 $guarded），开发者 应该 清楚认识批量赋值安全威胁的情况下合理灵活地运用。

批量赋值安全威胁，指的是用户可更新本来不应有权限更新的字段。举例，users 表里的 is_admin 字段是用来标识用户 是否是管理员，某不怀好意的用户，更改了修改个人资料的表单，增加了一个字段：

<input name="is_admin" value="1" />

这个时候如果你更新代码如下：

Auth::user()->update(Request::all());

此用户将获取到管理员权限。可以有很多种方法来避免这种情况出现，最简单的方法是通过设置 User 模型里的 $guarded 字段来避免：

protected $guarded = ['id', 'is_admin'];

五、CSRF

CSRF 跨站请求伪造是 Web 应用中最常见的安全威胁之一

laravel 默认对所有『非幂等的请求』强制使用 VerifyCsrfToken 中间件防护，需要开发者做的，是区分清楚什么时候该使用『非幂等的请求』。

幂等请求指的是：’HEAD’, ‘GET’, ‘OPTIONS’，既无论你执行多少次重复的操作都不会给资源造成变更。
  • 所有删除的动作，必须 使用 DELETE 作为请求方法；
  • 所有对数据更新的动作，必须 使用 POST、PUT 或者 PATCH 请求方法。

以上这篇整理一些php框架laravel的安全相关规范就是小编分享给大家的全部内容了，希望能给大家一个参考，也希望大家多多支持芦苇派。

原创文章，作者：ECHO陈文，如若转载，请注明出处：https://www.luweipai.cn/php/1667547780/

赞 (3)

相关推荐

ECHO陈文
ECHO陈文
ECHO陈文

关注互联网技术开发与维护运营

π • 热门

  • 3 赞