我是一个对在线安全一无所知的PHP/MySQL新手。
你能为我指点一些有助于提高我的知识水平的资源吗?(请提供初学者级别的资料!)
PHP可能不是最佳的起点,尤其是如果你主要自己编写代码。它并不能很好地处理安全问题。(注:出于各种原因,我希望PHP能够消失。)
但是有一些通用的规则:
mysql_real_escape_string()
可以解决SQL注入问题,但你必须记住在每个地方都使用它。这会导致很多地方可能出错,忘记转义的例行程序。相反,使用预编译语句,问题就完全消失了。另一个例子:Pylons(一个Python框架)调整其模板,除非你明确要求否则任何变量都会进行HTML转义。XSS不再是一个问题,我也不必担心手动转义我打印的每一样东西。Chris Shiflett 是 PHP 编程和安全方面的专家: