php安全问题,php安全性面试题

php有什么安全规则,有哪些?

php安全篇值过滤用户输入的人参数规则1：绝不要信任外部数据或输入关于Web应用程序安全性，必须认识到的第一件事是不应该信任外部数据。外部数据(outside data) 包括不是由程序员在PHP代码中直接输入的任何数据。

open_basedir设置为 /tmp ，这样可以让session信息有存储权限，同时设置单独的网站根目录expose_php设置为Offallow_url_fopen设置为Offallow_url_include设置为Off SQL注入攻击 对于操作数据库的SQL语句，需要特别注意安全性，因为用户可能输入特定语句使得原有的SQL语句改变了功能。

PHP-0和PHP-1存在PHP multipart/form-data POST请求处理远程漏洞，虽然不能获得本地用户权限，但是也能造成拒绝服务。

此外，避免信任用户上传的文件。使用如basename()和realpath()等PHP内置函数处理文件路径，以防止攻击。编写自定义函数来检查文件路径是否安全，并确保应用中不包含斜杠或其他可能导致路径伪造的字符。始终记住“不要信任用户”和“有功能解决此问题”的原则。

为什么鄙视php

1、总之，PHP有很多缺点，这就是为什么程序员鄙视它。它的语法结构松散，性能不佳，安全性差，文档不完善，这些都是程序员不喜欢PHP的原因。因此，程序员应该选择一种更加强大、安全、可靠的编程语言，而不是PHP。

2、总结而言，PHP不仅在Web开发领域展现出了其独特优势，而且拥有广阔的行业前景和良好的薪资待遇。与其在鄙视链中被轻视，不如将其视为一个值得深入学习和发展的强大工具。PHP是工程师们实现技术梦想和职业发展的理想选择。

3、对PHP的鄙视可能源于以下几个方面：性能问题：与Java、C或Go等现代编程语言相比，PHP在处理大量数据或面对高并发请求时，性能可能显得不足。这是因为PHP的设计初衷是为了快速开发Web应用，而非追求极致性能。安全问题：PHP的早期版本以及某些不规范的实现中，可能存在安全漏洞。

4、但请不要鄙视学php的人... 作为一个资深phper，php只是其基本技能之一。资深的phper能做什么：框架设计(丝毫不次于J2EE的各种web框架)php模块扩展(一般基于Linux C++编写)Linux系统非常熟悉 关系型数据库、对象型数据库、简单键值数据库，多种数据库能发挥其功效，协同运作。

5、系统工程师鄙视RF工程师，RF工程师鄙视路测工程师，然后，路测工程师联合所有外场工程师鄙视一切内场工程师。

问:php网站的安全性考虑都有哪些

在Web应用中，都是简单地接受用户输入表单然后反馈结果。在接受用户输入时，如果允许HTML格式输入将是非常危险的事情，因为这也就允许了JavaScript以不可预料的方式侵入后直接执行。哪怕只要有一个这样漏洞，cookie数据都可能被盗取进而导致用户的账户被盗取。

open_basedir设置为 /tmp ，这样可以让session信息有存储权限，同时设置单独的网站根目录expose_php设置为Offallow_url_fopen设置为Offallow_url_include设置为Off SQL注入攻击 对于操作数据库的SQL语句，需要特别注意安全性，因为用户可能输入特定语句使得原有的SQL语句改变了功能。

PHP-0和PHP-1存在PHP multipart/form-data POST请求处理远程漏洞，虽然不能获得本地用户权限，但是也能造成拒绝服务。

良好的安全性PHP是开源软件，所有PHP的源代码每个人都可以看得到，代码在许多工程师手中进行了检测，同时它与Apache编绎在一起的方式也可以让它具有灵活的安全设定，PHP具有了公认的安全性能。开源造就了强大，稳定，成熟的系统。跨平台特性PHP几乎支持所有的操作系统平台及数据库系统，并广为流行。

选择正确的语言程序 其实也没有那种语言程序是绝对安全的，这样要看我们的网站的具体要求，现阶段一般都是采用ASP或者PHP等。提防SQL注入漏洞 相信大部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。

确保数据传输过程安全：由于PHP是服务器端技术，无法直接保障数据在传输过程中的安全性。建议使用HTTPS协议：通过HTTPS协议，可以确保数据在服务器和客户端之间进行加密传输，从而提高数据在传输过程中的安全性。

PHP开发接口安全性问题?

1、接口做入库，记录来路和权限，判断来路网址是否符合。可以避免外部地址访问。2 token比较单一，记录其IP，简单判断是否频繁访问，是否有必要频繁访问，可以避免部分恶意访问。

2、安全，不敢当，因为web安全问题很多，不仅仅是PHP编码而已，有很多安全上的问题需要做处理，像服务器漏洞、端口开放都会导致被黑，这都是很正常的。只能说 比如在我做PHP开发过程的一些安全保护和在网络安全公司开发时的工作要求：最基础的，提供的api接口 要配置https。

3、安全性：PHP：由于其开放性，易受到恶意修改，安全性相对较低。Java：提供更严格的安全防护，源代码保护机制使得未经授权的修改较为困难，系统的稳定性与架构优势在安全性上得到体现。数据库访问：PHP：通过集成多种数据库接口，能够实现动态数据库切换，简化代码修改工作。

4、但PHP提供的数据库接口支持彼此不统一，比如对Oracle， MySQL， Sybase的接口，彼此 都不一样。这也是PHP的一个弱点。 面向对象编程 PHP提供了类和对象。基于web的编程工作非常需要面向对象编程能力。PHP支持构造器、 提取类等。

5、首先，PHP缺乏规模支持。其次，缺乏多层结构支持。对于大负荷站点，解决方法只有一个：分布计算。数据库、应用逻辑层、表示逻辑层彼此分开，而且同层也可以根据流量分开，群组成二维数组。而PHP则缺乏这种支持。还有上面提到过的一点，PHP提供的数据库接口支持不统一，这就使得它不适合运用在电子商务中。

6、访问数据库的接口比较统一。 PHP对于不同的数据库采用不同的数据库访问接口，所以数据库访问代码的通用性不强。例如：用Java开发的web应用从MySQL数据库转到Oracle数据库只需要做很少的修改。而PHP则需要做大量的修改工作。

PHP中MD5函数漏洞总结

1、全值比较（===）：不仅比较值是否相同，还检查它们的数据类型是否相同，如果两者都相同则返回TRUE。MD5函数及漏洞利用 PHP中的MD5函数用于生成哈希值，文档中对其有详细定义。

2、最后，哈希算法虽然不属于加密，但同样是重要的一环，它将任意长度的信息转换为固定长度的哈希值，常用于密码存储和数据完整性检查，如MD5。哈希不可逆，即使是最微小的改动，也会产生截然不同的结果，这使得哈希在保护数据安全方面具有不可替代的作用。

3、缓存漏洞中，ThinkPHP2提供F方法和S方法用于缓存操作。S方法通过set方法写入缓存，然后使用filename方法获取写入文件的路径，保存在../Application/Runtime/Temp目录下。最后，将S传入的name进行md5值作为文件名，通过file_put_contents函数将内容写入文件。

4、该函数中的SYS_KEY虽然固定，但需要经过MD5处理，这为攻击者提供了利用空间。潜在风险：此漏洞可能导致服务器被完全控制，敏感信息泄露等严重后果。任意SQL语句执行漏洞 漏洞描述：攻击者可以通过在浏览器中输入SQL注入语句来触发此漏洞。