最好的PHP安全方法？ [关闭]

Question

我实质上是在接受用户的输入，将其存储在MySQL数据库中，然后将其输出到同一用户和其他用户。

现在，我将mysql_real_escape_string()应用于用户输入的所有内容，并且每当回显某些内容（然后通过AJAX将其显示给用户）时，我都会应用htmlspecialchars() 。

这个可以吗？ 有更好的吗？ 我想要一个简单，安全的解决方案，以保持文本干净。 最好，我也想在文本进入数据库之前保护文本，因为在这里对一致性很重要。

谢谢！

Answer 1

如果您用“安全”来表示“干净”，则htmlspecialchars()很好。 您可能要使用htmlentities() ，它对所有字符进行编码，而不是对特殊字符进行编码。

某些字符通过htmlentities()和htmlspecialchars() （那些字符不在Latin1中），因此，您可能希望“ UTF-8证明”您的输出。 您可以使用我发现的此功能，作为对PHP文档的注释 。

// Unicode-proof htmlentities.
// Returns 'normal' chars as chars and weirdos as numeric html entites.
function superentities( $str ){
    // get rid of existing entities else double-escape
    $str = html_entity_decode(stripslashes($str),ENT_QUOTES,'UTF-8');
    $ar = preg_split('/(?<!^)(?!$)/u', $str );  // return array of every multi-byte character
    foreach ($ar as $c){
        $o = ord($c);
        if ( (strlen($c) > 1) || /* multi-byte [unicode] */
            ($o <32 || $o > 126) || /* <- control / latin weirdos -> */
            ($o >33 && $o < 40) ||/* quotes + ambersand */
            ($o >59 && $o < 63) /* html */
        ) {
            // convert to numeric entity
            $c = mb_encode_numericentity($c,array (0x0, 0xffff, 0, 0xffff), 'UTF-8');
        }
        $str2 .= $c;
    }
    return $str2;
}

至于在数据进入数据库时​​进行转义，可以在插入数据库之前应用htmlentities。 然后，在输出时，您可以再次执行此操作，但是请确保不要进行双重编码 ，否则将无法读取任何内容。 这是一个例子。

//Decode existing htmlentities
$OutputStringRaw = html_entity_decode(stripslashes($str),ENT_QUOTES,'UTF-8');

//Now you can apply htmlentities (or wtv else) w/o fear of double encoding.  
$OutputStringClean = htmlentities($OutputStringRaw);  

但实际上，最好只将条目保留在数据库中而不使用html转义。 插入数据时，可以使用PDO （这是一个不错的教程 ），也可以继续使用您一直在使用的mysql_real_escape_string。

Answer 2

您可以使用md5加密来保护文本，然后再将其输入数据库。 但是如今，使用md5哈希值并不安全，因此可以解密。 如果任何人都可以访问您的数据库，他们将能够解密密码。 您可以使用bcrypt，我认为这是一种非常好的加密方法。