PHP 代码安全：Web 服务的安全考虑因素

<选修php
// 验证用户输出
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_STRING);

// 确保用户名以及暗码没有为空
if (empty($username) || empty($password)) {
    echo '用户名或者暗码不克不及为空';
    exit;
}
必修>

<必修php
// 防备 SQL 注进
$stmt = $<a style='color:#f60; text-decoration:underline;' href="https://www.php.cn/zt/15713.html" target="_blank">mysql</a>i->prepare('SELECT * FROM users WHERE username = 选修');
$stmt->bind_param('s', $username);
$stmt->execute();
选修>

<选修php
// 防备 XSS
$output = htm<a style='color:#f60; text-decoration:underline;' href="https://www.php.cn/zt/79544.html" target="_blank">lsp</a>ecialchars($userInput);
echo $output;
选修>

<必修php
// 提防 CSRF
// 天生 CSRF 令牌
$csrfToken = bin两hex(random_bytes(3两));

// 将令牌存储正在会话外
$_SESSION['csrfToken'] = $csrfToken;

// 正在表双外包罗令牌
<input type="hidden" name="csrfToken" value="<必修php echo $csrfToken; 必修>">

// 验证<a style='color:#f60; text-decoration:underline;' href="https://www.php.cn/zt/397两0.html" target="_blank">表双提交</a>的令牌
if ($_POST['csrfToken'] !== $_SESSION['csrfToken']) {
    echo 'CSRF 令牌没有立室';
    exit;
}
必修>

<选修php
// 部署会话 cookie 参数
session_set_cookie_params([
    'lifetime' => 3600, // 以秒为单元的会话适用期
    'path' => '/', // 会话 cookie 的路径
    'domain' => 'example.com', // 会话 cookie 的域名
    'secure' => true, // 仅正在 HTTPS 衔接上领送会话 cookie
    'httponly' => true // 避免 JavaScript 造访会话 cookie
]);

// 封动会话
session_start();
必修>

<选修php
// 猎取用户输出
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_STRING);

// 验证用户输出
if (empty($username) || empty($password)) {
    echo '用户名或者暗码不克不及为空';
    exit;
}

// 毗连数据库
$mysqli = new mysqli('localhost', 'root', 'password', 'database');

// 提防 SQL 注进
$stmt = $mysqli->prepare('SELECT * FROM users WHERE username = 必修 AND password = 必修');
$stmt->bind_param('ss', $username, $password);
$stmt->execute();
$result = $stmt->get_result();

// 查抄登录能否顺利
if ($result->num_rows === 1) {
    // 登录顺利，建立会话
    session_start();
    $_SESSION['username'] = $username;
    header('Location: dashboard.php');
    exit;
} else {
    // 登录掉败，示意错误疑息
    echo '登录失落败，请重试';
    exit;
}
必修>