PHP 安全（1）

KBUG

墨衍会员 · AI 创作全网分发码龄24年

关注

原创最新推荐文章于 2026-03-07 00:14:39 发布 1.4k 阅读 AI 写同款· GEO 优化 ›

原作：John Coggeshall 07/31/2003

翻译：Easy

在最近的两篇专栏文章（《常见样式错误（上）》和《常见样式错误（下）》）中我讨论了一些在编写PHP程式时常见的使程式难于阅读和易导致BUG的坏习惯。

在今天的文章中，我将转向讨论这个系列的重点：使用PHP时，安全问题的重要性。

关注安全问题的重要性

看到的远非全部

阻止用户恶意破坏你的程式最有效却经常被忽略的方法是在写代码时就考虑它的可能性。留意代码中可能的安全问题是很重要的。考虑下边的旨在简化用PHP中写入大量文本文件的过程的实例函数：

<?php

function write_text($filename, $text="") {

               static $open_files = array();

               // 如果文件名空，关闭全部文件

               if ($filename == NULL) {

                               foreach($open_files as $fr) {

                                              fclose($fr);

                               }

                               return true;

               }

               $index = md5($filename);



               if(!isset($open_files[$index])) {

                               $open_files[$index] = fopen($filename, "a+");

                               if(!$open_files[$index]) return false;

               }

               fputs($open_files[$index], $text);

               return true;

}?>

这个函数带有两个缺省参数，文件名和要写入文件的文本。

函数将先检查文件是否已被打开；如果是，将使用原来的文件句柄。否则，将自行创建。在这两种情况中，文本都会被写入文件。

如果传递给函数的文件名是NULL，那么所有打开的文件将被关闭。下边提供了一个使用上的实例。

如果开发者以下边的格式来写入多个文本文件，那么这个函数将清楚和易读的多。

让我们假定这个函数存在于一个单独的文件中，这个文件包含了调用这个函数的代码。

下边是一个这样的程式，我们叫它quotes.php：

<html><body>

<form action="<?=$_SERVER['PHP_SELF']?>" method="get">

Choose the nature of the quote:

<select name="quote" size="3">

<option value="funny">Humorous quotes</option>

<option value="political">Political quotes</option>

<option value="love">Romantic Quotes</option>

</select><br />

The quote: <input type="text" name="quote_text" size="30" />

<input type="submit" value="Save Quote" />

</form>

</body></html>

<?php

    include_once('write_text.php');

    $filename  = "/home/web/quotes/{$_GET['quote']}";

    $quote_msg = $_GET['quote_text'];

    if (write_text($filename, $quote_msg)) {

       echo "<center><hr><h2>Quote saved!</h2></center>";

    } else {

       echo "<center><hr><h2>Error writing quote</h2></center>";

    }

    write_text(NULL);

?>

如同你看到的，这位开发者使用了write_text()函数来创建一个体系使得用户可以提交他们喜欢的格言，这些格言将被存放在一个文本文件中。