分享每一天-Laravel 的安全实践

Laravel 的安全实践

PHP 1899 0 创建时间：2020-06-06 10:32:47

php PHP安全

### 关闭 DEBUG
Laravel Debug 开启时，会暴露很多能被黑客利用的服务器信息，所以，生产环境下请 必须 确保：
```php
APP_DEBUG=false
```
### xss攻击
跨站脚本攻击（cross-site scripting，简称 XSS），具体危害体现在黑客能控制你网站页面，包括使用 JS 盗取 Cookie 等，关于 XSS 的介绍请前往 IBM 文档库：跨站点脚本攻击深入解析 。

默认情况下，在无法保证用户提交内容是 100% 安全的情况下，必须 使用 Blade 模板引擎的 {{ $content }} 语法会对用户内容进行转义。

Blade 的 {!! $content !!} 语法会直接对内容进行 非转义 输出，使用此语法时，必须 使用 HTMLPurifier for Laravel 5 来为用户输入内容进行过滤。使用方法参见： 使用 HTMLPurifier 来解决 Laravel 5 中的 XS...

###  SQL 注入
Laravel 的 查询构造器 和 Eloquent 是基于 PHP 的 PDO，PDO 使用 prepared 来准备查询语句，保障了安全性。

在使用 raw() 来编写复杂查询语句时，必须 使用数据绑定。
#### 错误做法：
```php
Route::get('sql-injection', function() {
    $name = "admin"; // 假设用户提交
    $password = "xx' OR 1='1"; // // 假设用户提交
    $result = DB::select(DB::raw("SELECT * FROM users WHERE name ='$name' and password = '$password'"));
    dd($result);
});
```
以下是正确的做法，利用 select 方法 的第二个参数做数据绑定：
#### 正确做法：
```php
Route::get('sql-injection', function() {
    $name = "admin"; // 假设用户提交
    $password = "xx' OR 1='1"; // // 假设用户提交
    $result = DB::select(
        DB::raw("SELECT * FROM users WHERE name =:name and password = :password"),
        [
            'name' => $name,
            'password' => $password,
        ]
    );
    dd($result);
});
```
DB 类里的大部分执行 SQL 的函数都可传参第二个参数 $bindings ，详见：[API 文档](http://d.laravel-china.org/api/5.3/Illuminate/Database/ConnectionInterface.html "API 文档") 。

### 批量赋值

Laravel 提供白名单和黑名单过滤（$fillable 和 $guarded），开发者 应该 清楚认识批量赋值安全威胁的情况下合理灵活地运用。

### CSRF (跨站请求伪造)
CSRF 跨站请求伪造是 Web 应用中最常见的安全威胁之一，具体请见 Wiki - 跨站请求伪造 或者 Web 应用程序常见漏洞 CSRF 的入侵检测与防范。

Laravel 默认对所有『非幂等的请求』强制使用 VerifyCsrfToken 中间件防护，需要开发者做的，是区分清楚什么时候该使用『非幂等的请求』。

### 点击劫持

这种攻击类型试图让你点击你不想要的地方。例如通过在其他按钮顶部放置不可见的 Facebook like 按钮。
另一个例子是在 iframe 中打开 Facebook ，并将这个 iframe 放置在 JavaScript 代码中，所以无论何时你点击某个地方，你总是会点击到 Facebook 页面上的分享按钮。

#### 上传文件到 public_html
 这种攻击形式是，攻击者上传 .php 文件或者其他可执行文件到你的 public_html 目录。. 
想象一下如果你的网站有图片上传功能，同时没有检测上传文件的类型。

###  ZIP 炸弹
一些网站允许用户上传 .zip 文档，然后进行解压缩和再处理。但这里存在一个大问题。

很有可能这个 .zip 文档大小仅有 42 KB，但在解压后会占用 4718592 GB 的空间。你可以把它想象成一颗原子弹。

###  file_get_contents()
使用这个函数可以轻松的读取文件内容：
```php
echo file_get_contents('https://some-website.com/friend-list.txt');
```
但是你如果让攻击者输入他想要的，他可以从你服务器进入的文件，例如：
```php
echo file_get_contents('.env');
OR
echo file_get_contents('secret-code.php');
```
这个函数将会从你的服务器读取文件和展示内容给攻击者。

Laravel 的安全实践

商品推荐

广告推荐

推荐文章