php开发安全规范

zhangpengfei00

　　1、不要使用弱口令，要大写+小写+数字+特殊字符，6个字符以上
　　2、口令不要设置为 自己的名字或生日等
　　3、非测试或调试状态下，不允许显示phpinfo页面
　　4、php.ini 安全配置
   expose_php = Off  #关闭php版本显示
   enable_dl = off             #不允许调用dl
   allow_url_include = off     #避免远程调用文件包含
   upload_tmp_dir = /tmp       #明确定义upload目录
   open_basedir = ./:/tmp:/home/wwwroot/  #限制用户访问的目录，但会导致访问变慢
   register_globals = off #关闭注册全局变量
   display_errors = off #关闭php错误日志在前台显示
   magic_quotes_gpc = on #过滤外部的GET、POST、COOKIE变量中的单引号（'）、双引号（"）、反斜杠（\）及空字符（NULL）的前面加上反斜杠（\）
   magic_quotes_runtime = on #过滤数据库及文件中的单引号（'）、双引号（"）、反斜杠（\）及空字符（NULL）的前面加上反斜杠（\）
   safe_mode= on #对于一些文件操作和命令执行函数作功能限制
   open_basedir= 目录 #限制php程序可以访问的目录
   disable_functions= 函数，函数 #禁止php使用哪些函数　　1、不要轻易对一个程序运行 ”以管理员方式运行”
　　2、尽量不要使用网上的破解或来源不明的软件
　　3、不要用移动存储设备持久保存公司或个人文件
　　4、不要访问***、***等非法网站，并在上面填写自己的信息
　　5、不要在网站内点击广告之类的弹窗
　　6、要定期清理游览器缓存和历史记录
　　7、不要在游览器设置密码自动保存
　　8、不要在网络留下“自己是某公司的职员”之类的信息
　　9、不要点击不明来源的URL(一般以不明来源的邮件为主)
　　10、不要在登陆后台时点击某个链接，这个永远是最危险的
　　11、不要相信10010、10086、110、112 之类的来电或短信(这类短信很少会要求你下载某个app）
　　12、不要把常用密码设为同一个，最好常备3个
　　13、如果突然有同事发邮件问你一些公司的秘密，你要和他核实信息，比如打电话，短信等
　　14、要在登陆点设置验证
　　15、不要给予上传文件执行权限
　　16、对于上传文件不要只在客户端做js的简单后缀识别,也要在服务端做控制,并在文件上传后要改变其原文件名
　　17、对于内部和外部的数据，不仅要验证数据的类型，还要验证其格式、长度、范围和内容
　　18、要对用户访问、操作目录和session会话做权限控制
　　19、要对传入数据库的参数做过滤控制
　　20、对于用户留言等于用户有交互的地方，要对用户输入的字符做过滤
　　21、隐藏敏感页面，如conn.php等
　　22、非集群环境下Mysql root账号只允许 localhost和127.0.0.1 访问，禁止外部访问
　　23、如果是集群环境，要给mysql配置黑白名单
　　24、对于mysql要做到一个用户管理一个库，不要在程序中直接使用root做SQL语句执行