strip_tags、filter_var、Md5およびsha1

<?php

$user_input = "Your site rocks";

echo "<h4>My Commenting System</h4>";

echo $user_input;

?>

<?php

$user_input = "<script>alert('Your site sucks!');</script>";

echo strip_tags($user_input);

?>

URLを参照します http：//localhost/phptuts/comments.php

PHPfilter_var関数

filter_var関数は、データの検証とサニタイズに使用されます。

検証では、データが正しいタイプであるかどうかがチェックされます。 文字列の数値検証チェックは、誤った結果を返します。

サニタイズとは、文字列から不正な文字を削除することです。

完全なリファレンスについては、このリンクを確認してください filter_var

コードはコメントシステム用です。

filter_var関数とFILTER_SANITIZE_STRIPPED定数を使用して、タグを削除します。

<?php

$user_input = "<script>alert('Your site sucks!');</script>";

echo filter_var($user_input, FILTER_SANITIZE_STRIPPED);

?>

出力：

alert('Your site sucks!');

mysqli_real_escape_string関数この関数は、SQLインジェクションからアプリケーションを保護するために使用されます。

ユーザーIDとパスワードを検証するための次のSQLステートメントがあるとします。

<?php
SELECT uid,pwd,role FROM users WHERE uid = 'admin' AND password = 'pass';
?>

悪意のあるユーザーは、ユーザーIDテキストボックスに次のコードを入力できます。 'OR 1 = 1-そしてパスワードテキストボックスの1234認証モジュールをコーディングしましょう

<?php

$uid = "' OR 1 = 1 -- ";

$pwd = "1234";

$sql = "SELECT uid,pwd,role FROM users WHERE uid = '$uid' AND password = '$pwd';";

echo $sql;

?>

最終結果は

SELECT uid,pwd,role FROM users WHERE uid = '' OR 1 = 1 -- ' AND password = '1234';

ここに、

• 「SELECT * FROM users WHERE user_id = ''」は、空のユーザーIDをテストします
• 「 'OR1 = 1」は、常に真になる条件です。
• 「-」は、パスワードをテストする部分にコメントします。

上記のクエリはすべてのユーザーを返します。次に、mysqli_real_escape_string関数を使用してログインモジュールを保護しましょう。

<?php

$uid = mysqli_real_escape_string("' OR 1 = 1 -- ");

$pwd = mysqli_real_escape_string("1234");

$sql = "SELECT uid,pwd,role FROM users WHERE uid = '$uid' AND password = '$pwd';";

echo $sql;

?>

上記のコードは出力されます

SELECT uid,pwd,role FROM users WHERE uid = '' OR 1 = 1 -- ' AND password = '1234';

注意 2番目の一重引用符はエスケープされており、ユーザーIDの一部として扱われ、パスワードはコメントされません。

PHPMd5およびPHPsha1

Md5はMessageDigest 5の頭字語であり、sha1はSecure Hash Algorithm1の頭字語です。

どちらも文字列の暗号化に使用されます。

文字列が暗号化されると、それを復号化するのは面倒です。

Md5とsha1は、データベースにパスワードを保存するときに非常に便利です。

以下のコードは、md5とsha1の実装を示しています。

<?php
echo "MD5 Hash: " . md5("password");
echo "SHA1 Hash: " . sha1("password");
?>

ファイルhashes.phpをphptutsフォルダーに保存したと仮定して、URLを参照します。

上記のハッシュからわかるように、攻撃者がデータベースにアクセスした場合でも、攻撃者はログインするためのパスワードを知りません。

概要

• セキュリティとは、偶発的および悪意のある攻撃からアプリケーションを保護するために実施される対策を指します。
• strip_tags関数は、入力データから

  コメントを残す コメントをキャンセル

  メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です

  コメント ※

  名前 ※

  メール ※

  サイト

  次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。