我正在创建一个Web应用程序，我希望向公众发布该应用程序以便在任何人自己的Web服务器上下载和安装，但是我刚刚被告知某些Web主机禁止在PHP中使用fopen由于到“安全问题”，特别是在共享主机上。我在应用程序的安装过程中使用了fopen，我应该担心这个吗？这是共享主机中的常见做法吗？如果是这样，还有另一种方法可以写入文件吗？我听说过cURL，但这需要最终用户具备更多高级知识，不是吗？如果是这样，这显然是不可预料的。非常感谢! 最佳答案 fopen()永远不会被禁用。然而，php.ini设置“allow_url_fopen”是。因此
下午好我对CodeIgniter的安全性有一些疑问，第一个是:我有一个Controller:news.php，其中有一个名为view的方法例子:classNewsextendsCI_Controller{publicfunctionview($id){$this->load->model('news_model');$this->news_model->get_by_id($id);//...}}这种工作形式安全吗？没有通过URL进行SQL注入(inject)的风险？考虑到访问此页面，所以mywebpage/news/number_id。通过intval()过滤会很有趣还是没必要？我的
放什么东西最安全将表单提交到当前页面？ 最佳答案 这里什么也不能放。action默认为默认页面 关于php-向自身提交页面最安全的方法是什么？，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.com/questions/7125748/
这个问题在这里已经有了答案:关闭11年前。PossibleDuplicate:Is“doublehashing”apasswordlesssecurethanjusthashingitonce?所以，我正在阅读一篇关于保护PHP网站的文章，他们建议对密码进行多次哈希处理，事实上，这是直接引用该文章:md4(md4(md5(sha1(md4(md5(sha1(sha1($_POST['password']))))))));现在，就个人而言，我通常在我的密码上使用加盐的SHA-256哈希，因为我认为MD4和MD5不再安全，并且多次对密码进行哈希处理只会给服务器带来太多压力，不实用益处。对吗
为什么生成的CSRF保护token没有像建议的那样通过SESSION保存和使用here？目前在CI2中，CSRF保护机制(Security类)是这样的:1.在_csrf_set_hash()函数中为CSRFtoken生成一个唯一值:$this->csrf_hash=md5(uniqid(rand(),TRUE));2.将该标记插入表单隐藏字段(使用form_open帮助器)3.用户提交表单，服务器通过POST获取token。CI在Input类的“_sanitize_globals()”函数中进行token校验:$this->security->csrf_verify();4.Secur
我正在编写一个PHP脚本，旨在通过exec()函数运行可执行文件(ffmpeg.exe)。问题是我读过使用exec()函数可能存在安全风险，应尽可能避免。我一直在研究如何安全地运行exec()函数，而我不断遇到的唯一一件事就是使用escapeshellcmd或escapeshellarg过滤命令字符串。我想知道的是在使用exec()函数时是否可以进一步提高安全性，或者是否有exec()的安全替代方法。任何帮助将不胜感激。这是我的代码；define('FFMPEG_LIBRARY','c:\\ffmpeg7\\ffmpeg\\bin\\ffmpeg');$transcode_string
我刚刚开始使用PHP和MySQL，并创建了一个登录表单，一切正常!现在我想添加ajax，我考虑的第一个方法是使用jQuery$.post方法。我对代码没意见，这里是我将要做什么的快速思路:functionlogin(){$.post('login.php',{username:form.username.value,password:form.password.value})}我只需要知道，这种方法安全吗？如果不安全，我应该考虑什么方法？ 最佳答案 它的安全性与任何其他表单提交方法一样安全。
我正在使用ADOdb连接到我的MSSQL数据库。我想知道这是否足以防止SQL注入(inject)？我正在使用的准备好的查询是:$db=ADONewConnection('odbc_mssql');$dsn="Driver={SQLServer};Server=SERVNAME;Database=DBNAME;";$ADODB_COUNTRECS=false;$db->Connect($dsn,'LOGIN','PASS');$sql='SELECTlogin,etcFROMusersWHERElogin='.$db->Param('0').'ANDpass='.$db->Param('
我有一个隐藏在每个页面上的登录表单，并在需要时在点击时显示自己，而不是引发新的页面请求。我注意到，为了使登录真正安全，表单操作应指向https页面，而且登录表单本身也应位于https页面上。有没有一种方法可以使弹出式登录表单安全，而无需将整个网站设为https？ 最佳答案 在http://页面上使用(理论上)转到https://的AJAX弹出窗口(或iframe)会带来两个问题:攻击者可以拦截该页面并用他自己的链接替换该链接。这可以防止用户检查它连接到哪个网站。第一个问题与thisquestion有关(不是特定于AJAX弹出窗口，而
我想知道在PHP中使用eval()来解析用户填写表单时输入的公式时应该检查哪些类型的内容。我看过很多关于eval()的答案，但似乎并非所有人都同意。这是我收集到的:不要对字符串使用eval(这可能是个问题，因为它是我需要解析的公式)去除来自表单的输入(我不完全确定我需要去除哪些东西)Eval可能是邪恶的，也可能不是邪恶的，并且存在安全风险(是否有其他方法可以解析字符串中的方程式？)你们认为我应该怎么做？编辑:我尝试了eval方法，虽然它确实有效，但我使用的环境卫生不支持两个以上的操作数。由于我真的不想编写自己的(可能不安全的)卫生正则表达式，所以我将查找并使用预先编写的数学类。感谢大家
