php数据库安全总结 php数据库管理

如何实现php的安全最大化？怎样避免sql注入漏洞和xss跨站脚本攻击漏洞

使用php安全模式

服务器要做好管理，账号权限是否合理。

假定所有用户的输入都是“恶意”的，防止XSS攻击，譬如：对用户的输入输出做好必要的过滤

防止CSRF，表单设置隐藏域，post一个随机字符串到后台，可以有效防止跨站请求伪造。

文件上传，检查是否做好效验，要注意上传文件存储目录权限。

防御SQL注入。 

避免SQL注入漏洞

1.使用预编译语句

2.使用安全的存储过程

3.检查输入数据的数据类型

4.从数据库自身的角度考虑，应该使用最小权限原则，不可使用root或dbowner的身份连接数据库。若多个应用使用同一个数据库，也应该为数据库分配不同的账户。web应用使用的数据库账户，不应该有创建自定义函数，操作本地文件的权限。

避免XSS跨站脚本攻击

1.假定所有用户输入都是“邪恶”的

2.考虑周全的正则表达式

3.为cookie设置HttpOnly,防止cookie劫持

4.外部js不一定可靠

5.出去不必要的HTML注释

6. 针对非法的HTML代码包括单双引号等，使用htmlspecialchars()函数。

相关问答

Q1: php连接数据库密码安全的问题

不需要php数据库安全总结，因为你可做服务端及客户端的关联，修改其一就可php数据库安全总结了，

Q2: php知识框架总结

php知识框架总结

篇一：php基础知识点总结

PHP语言基础简单整理

1.开始结束标记php数据库安全总结的格式只有在没有判断语句时才能使用。

对表单传递的变量进行编码和解码：PHP中实现对查询字符串进行URL编码可以通过函数urlencode()实现php数据库安全总结，该函数的使用格式如下：string urlencode(string str);对URL编码后的查询字符串进行解码php数据库安全总结，可以通过urldecode()函数实现，该函数的使用格式如下：string urldecode(string str);

15.PHP连接数据库：

步骤： 一、建立连接------mssql_connect(server,uid,pwd);

二、指定database-------mssql_select_db(databasename);

三、执行sql------mssql_query($sql,$link);

四、处理记录集-------资源类型数据，格式:bof---数据---eof

五、以特定格式读取数据-----mssql_fetch_array()....

六、释放相关资源、关闭连接------mssql_free_result($result);mssql_close();

16.数组：php的数组由键值和value值组成

定义：$array = array("键值"="value","键值"="value","键值"="value");如果不给键值赋值，默认从0开始的int值

相关函数：（1）in_array("值",数组名); 返回bool型-----查看数组中是否存在某value值

（2）array_key_exists("key值",数组名); 返回bool型-----查看数组中是否存在某键值

（3）array_keys(数组名);---将数组键值返回出来形成一个新数组，此键值作为新数组的value值

（4）array_values(数组名);---将数组value值返回出来形成一个新数组，此值作为新数组的value值

（5）key(数组名);----返回当前指针指向的元素key值

（6）current(数组名);----返回当前指针指向的元素value值

（7）next(数组名);----挪动当前数组指针到下一步

（8）reset(数组名);----恢复数组指针，指向第0个元素

（9）end(数组名);----将指针挪向最后一个元素

（10）prev(数组名);----将指针向前挪动一位

（11）foreach(数组名 as $key=$value)

{

$key是键值，$value是value值，实现数组遍历

}

（12）each(数组名);----将当前数组元素依次取出（自动挪动指针）并放到一个新的数组中

（13）array_shift(数组名);----返回数组中第一个元素值

（14）array_pop(数组名);----返回数组最后一个元素值

（15）array_push(数组名,value);----向数组中追加元素

（16）array_unshift(数组名,value);----在数组最前面添加元素

（17）array_pad(数组名,数组长度,value);----向数组中追加多个元素，对数组副本操作，不改变原数组，返回一个新数组

（18）count();----返回个数

（19）array_unique(数组名);----去掉数组中重复部分，操作数组副本，不改变原数组，返回新数组

（20）sort(数组名);----从小到大升序排列数组value值，一般针对int型value值，返回bool型，成功返回true

（21）rsort(数组名);----从大到小，逆序排列数组value值

（22）array_combine(数组1,数组2);----将数组1的value值作为key，数组2的value值作为value值，形成一个新数组

（23）array_merge(数组1,数组2,数组3...);----合并多个数组，将多个数组value值依次合并，合为一个数组

（24）array_slice(数组名,int,int);----从目标数组截取元素，形成一个新数组。开始位置为第二个参数，结束位置为第三个参数。若第三个参数不写，则默认是截取到最后。

（25）array_splice();----用法同array_slice();但是其截取部分从原数组中删除

（26）explode("字符依据",目标字符串);----将字符串按照一定的依据拆分成数组

（27）implode("字符依据",目标数组);----将数组元素按照依据组合成一个字符串

（28）range(mixed low,mixed high[number step]);----生成数组，例：range(1,100,8);---即从1到100，每8位取一个数，组成一个数组

（29）shuffle(数组名);----用于将数组进行随机排序

（30）array_sum(数组名);----对数值型数组元素值进行求和

（31）array_chunk(数组名,int);----分割目标数组，返回一个新数组，其中数组的每个元素都是一个一维数组，int参数为分割成的一维数组的长度

17.Cookie和会话控制：

Cookie是在HTTP协议下，服务器或脚本可以维护客户工作站上信息的一种方式。Cookie是由Web服务器保存在客户机上的小文本文件，它可以包含有关用户的信息。无论何时用户链接到服务器，Web站点都可以访问Cookie信息。

存在server端的是session，存在client端的是cookie，它们用来存储全局变量。 设定Cookie值：setcookie("名","值");

通过Cookie数组取值：$_cookie["名"];

设置生成期：setcookie("名","值",time()+1800);生成期为当前时间加1800秒之后。

删除cookie: setcookie("名","",time()-3600);中间值设置为空，并将当前时间减去3600秒。 Cookie数组：setcookie("名[key]","值"); 使用foreach读取。

在PHP中可以通过$_COOKIE预定义变量访问Cookie的值。如果设置了php.ini中的register_long_arrays，那么就能够应用$_COOKIE和$HTTP_COOKIE_VARS；如果在php.ini中还设置了register_globals，那么就可以在PHP中作为全局变量使用各个Cookie值。但是，更改php.ini中的两个文件设置，容易对PHP的安全构成威胁，不推荐使用该方法，建议使用更新的$_COOKIE。

会话ID的传送

会话ID的传送有两种方式，一种是Cookie方式，另一种是URL方式。

Cookie传送方式：

这是最简单的会话方式，但是有些客户可能限制使用Cookie，如果客户限制使用Cookie的条件下，仍要继续工作，那就要通过其php数据库安全总结他方式来实现了。

URL传送方式：

在该方式中，URL本身用来传送会话，会话标志被简单地附加到URL的尾部，或者作为窗体中的一个变量来传递。例：

Q3: php连接数据库安全吗源码

安全。php连接数据库有三层密码层层防护php数据库安全总结，源码很安全。数据库是“按照数据结构来组织、存储和管理数据php数据库安全总结的仓库”php数据库安全总结，是一个长期存储在计算机内的集合。

Q4: 数据库安全的安全策略

数据库的安全配置在进行安全配置之前，首先必须对操作系统进行安全配置，保证操作系统处于安全状态。然后对要使用的操作数据库软件（程序）进行必要的安全审核，比如对ASP、PHP等脚本，这是很多基于数据库的Web应用常出现的安全隐患，对于脚本主要是一个过滤问题，需要过滤一些类似“,; @ /”等字符，防止破坏者构造恶意的SQL语句。接着，安装SQL Server2000后请打上最新SQL补丁SP4 。

SQL Server的安全配置

1．使用安全的密码策略

我们把密码策略摆在所有安全配置的第一步，请注意，很多数据库账号的密码过于简单，这跟系统密码过于简单是一个道理。对于sa更应该注意，同时不要让sa账号的密码写于应用程序或者脚本中。健壮的密码是安全的第一步，建议密码含有多种数字字母组合并9位以上。SQL Server2000安装的时候，如果是使用混合模式，那么就需要输入sa的密码，除非您确认必须使用空密码，这比以前的版本有所改进。同时养成定期修改密码的好习惯，数据库管理员应该定期查看是否有不符合密码要求的账号。

2．使用安全的账号策略

由于SQL Server不能更改sa用户名称，也不能删除这个超级用户，所以，我们必须对这个账号进行最强的保护，当然，包括使用一个非常强壮的密码，最好不要在数据库应用中使用sa账号，只有当没有其他方法登录到 SQL Server 实例（例如，当其他系统管理员不可用或忘记了密码）时才使用 sa。建议数据库管理员新建立个拥有与sa一样权限的超级用户来管理数据库。安全的账号策略还包括不要让管理员权限的账号泛滥。

SQL Server的认证模式有Windows身份认证和混合身份认证两种。如果数据库管理员不希望操作系统管理员来通过操作系统登录来接触数据库的话，可以在账号管理中把系统账号“BUILTIN\Administrators”删除。不过这样做的结果是一旦sa账号忘记密码的话，就没有办法来恢复了。很多主机使用数据库应用只是用来做查询、修改等简单功能的，请根据实际需要分配账号，并赋予仅仅能够满足应用要求和需要的权限。比如，只要查询功能的，那么就使用一个简单的public账号能够select就可以了。

3．加强数据库日志的记录

审核数据库登录事件的“失败和成功”，在实例属性中选择“安全性”，将其中的审核级别选定为全部，这样在数据库系统和操作系统日志里面，就详细记录了所有账号的登录事件。请定期查看SQL Server日志检查是否有可疑的登录事件发生，或者使用DOS命令。

4．管理扩展存储过程

对存储过程进行大手术，并且对账号调用扩展存储过程的权限要慎重。其实在多数应用中根本用不到多少系统的存储过程，而SQL Server的这么多系统存储过程只是用来适应广大用户需求的，所以请删除不必要的存储过程，因为有些系统的存储过程能很容易地被人利用起来提升权限或进行破坏。如果您不需要扩展存储过程Xp_cmdshell请把它去掉。使用这个SQL语句：

use master

sp_dropextendedproc 'Xp_cmdshell'

Xp_cmdshell是进入操作系统的最佳捷径，是数据库留给操作系统的一个大后门。如果您需要这个存储过程，请用这个语句也可以恢复过来。

sp_addextendedproc 'xp_cmdshell', 'xpSQL70.dll'

如果您不需要请丢弃OLE自动存储过程（会造成管理器中的某些特征不能使用）。

这些过程如下： Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty

Sp_OAMethod Sp_OASetProperty Sp_OAStop

去掉不需要的注册表访问的存储过程，注册表存储过程甚至能够读出操作系统管理员的密码来，命令如下：

Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue

Xp_regenumvalues Xp_regread Xp_regremovemultistring

Xp_regwrite

还有一些其他的扩展存储过程，也最好检查检查。在处理存储过程的时候，请确认一下，避免造成对数据库或应用程序的伤害。

5．使用协议加密

SQL Server 2000使用的Tabular Data Stream协议来进行网络数据交换，如果不加密的话，所有的网络传输都是明文的，包括密码、数据库内容等，这是一个很大的安全威胁。能被人在网络中截获到他们需要的东西，包括数据库账号和密码。所以，在条件容许情况下，最好使用SSL来加密协议，当然，您需要一个证书来支持。

6．不要让人随便探测到您的TCP/IP端口

默认情况下，SQL Server使用1433端口监听，很多人都说SQL Server配置的时候要把这个端口改变，这样别人就不会轻易地知道使用的什么端口了。可惜，通过微软未公开的1434端口的UDP探测可以很容易知道SQL Server使用的什么TCP/IP端口。不过微软还是考虑到了这个问题，毕竟公开而且开放的端口会引起不必要的麻烦。在实例属性中选择TCP/IP协议的属性。选择隐藏 SQL Server实例。如果隐藏了SQL Server实例，则将禁止对试图枚举网络上现有的 SQL Server实例的客户端所发出的广播作出响应。这样，别人就不能用1434来探测您的TCP/IP端口了（除非用Port Scan）。

7．修改TCP/IP使用的端口

请在上一步配置的基础上，更改原默认的1433端口。在实例属性中选择网络配置中的TCP/IP协议的属性，将TCP/IP使用的默认端口变为其他端口。

8．拒绝来自1434端口的探测

由于1434端口探测没有限制，能够被别人探测到一些数据库信息，而且还可能遭到DoS攻击让数据库服务器的CPU负荷增大，所以对Windows 2000操作系统来说，在IPSec过滤拒绝掉1434端口的UDP通信，可以尽可能地隐藏您的SQL Server。

9．对网络连接进行IP限制

SQL Server 2000数据库系统本身没有提供网络连接的安全解决办法，但是Windows 2000提供了这样的安全机制。使用操作系统自己的IPSec可以实现IP数据包的安全性。请对IP连接进行限制，只保证自己的IP能够访问，也拒绝其他IP进行的端口连接，对来自网络上的安全威胁进行有效的控制。

上面主要介绍的一些SQL Server的安全配置，经过以上的配置，可以让SQL Server本身具备足够的安全防范能力。当然，更主要的还是要加强内部的安全控制和管理员的安全培训，而且安全性问题是一个长期的解决过程，还需要以后进行更多的安全维护。

Q5: 用PHP+MySQL做网页连接数据库时，如何保证密码安全？

你就不会用MD5加个密？或者把数据库相关的操作写成一个类进行处理?

php数据库安全总结的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于php数据库管理、php数据库安全总结的信息别忘了在本站进行查找喔。