安全规范

包含文件

1. 命名规则

提取出来具有通用函数的包含文件，文件后缀以.inc来命名，表明这是一个包含文件。

如果有多个.inc文件需要包含多页面，请把所有.inc文件封装在一个文件里面，具体到页面只需要包换一个.inc文件就可以了

如:

xxx_session.inc
xxx_comm..inc
xxx_setting.inc
mysql_db.inc

把以上文件以一下方式，封装在xxx.basic.inc文件里面

require_once(”xxx_session.inc”);
require_once(”xxx_comm.inc”);
require_once(”xxx_setting.inc”);
require_once(”mysql_db.inc”);

注：是否需要封装到一个文件，视情况而定，如果每个inc的功能是分散到不同的页面使用的话，就不建议封装。

2. 存放规则

一般包含文件不需要直接暴露给用户，所以应该放在 Web Server访问不到的目录，避免因为配置问题而泄露设置信息。

安全规则

请参考产品安全检查表。

1. 输入和输出

1.1 检查是否做了HTML代码的过滤

可能出现的问题：如果有人输入恶意的HTML代码，会导致窃取cookie, 产生恶意登录表单，和破坏网站

1.2 检查变量做数据库操作之前是否做了escape

可能出现的问题：如果一个要写入查询语句的字符串变量包含了某些特殊的字符，比如引号(’ ,”)或者分号(;) 可能造成执行了预期之外的操作。

建议采用的方法：使用mysql_escape_string() 或实现类似功能的函数。

1.3 检查输入数值的合法性

可能出现的问题：异常的数值会造成问题。如果对输入的数值不做检查会造成不合法的或者错误的数据存入UDB、存入其它的数据库或者导致意料之外的程序操作发生。

举例：

如果程序以用户输入的参数值做为文件名，进行文件操作，恶意输入系统文件名会造成系统损毁。

1.4 核实对cookie的使用以及对用户数据的处理

可能出现的问题：不正确的cookie使用可能造成用户数据泄漏

1.5 访问控制

对内部使用的产品或者供合作方使用的产品，要考虑增加访问控制

1.6 logs

确保用户的保密信息没有记在log中(例如：用户的密码)

确保对关键的用户操作保存了完整的用户访问记录

1.7 https

对敏感数据的传输要采用https

一些针对PHP的规则

设置 register_globals = off (Y!PHP 已经禁止了register_globals，如果你使用Y!PHP可以不考虑这项设置)

设置 error_reporting = E_ALL (Y!PHP 的缺省设置），并且要修正所有的error和warning

将实际的操作放在被引用的文件中。把引用文件放到不可以被直接浏览的目录下

其它处理规则

1. 对输入参数值进行转义处理

页面接到参数需要SQL操作，这时候需要做转义，尤其需要注意”;”。

如：

$a = ” Let’s Go ” ;
$sql = “Insert into tmp(col) values(’$a’)” ;

这种情况出现错误的不确定性。

2. 操作大HTML文本

很多时候需要存放一大段HTML文本供页面使用，象用户定制页头页脚等。

需要剔除脚本标记，避免执行恶意php代码。

转换”<“”>“号，保证代码完整。