PHP安全编程：表单与数据安全

在典型的PHP应用开发中，大多数的逻辑涉及数据处理任务，例如确认用户是否成功登录，在购物车中加入商品及处理信用卡交易。

数据可能有无数的来源，做为一个有安全意识的开发者，你需要简单可靠地区分两类数据：

已过滤数据

被污染数据

所有你自己设定的数据可信数据，可以认为是已过滤数据。一个你自己设定的数据是任何的硬编码数据，例如下面的email地址数据：$email = '[e-mail]';

上面的Email地址[e-mail]并不来自任何远程数据源。显而易见它是可信的。任何来自远程数据源的数据都是输入，而所有的输入数据都是被污染的，必须在要在使用前对其进行过滤。

被污染数据是指所有不能保证合法的数据，例如用户提交的表单，从邮件服务器接收的邮件，及其它web应用中发送过来的xml文档。在前一个例子中，$email是一个包含有已过滤数据的变量。数据是关键，而不是变量。变量只是数据的容器，它往往随着程序的执行而为被污染数据所覆盖：$email = $_POST['email'];

当然，这就是$email叫做变量的原因，如果你不希望数据进行变化，可以使用常量来代替：

[php] view plaincopy

1. define('EMAIL', '[e-mail]');  

如果用上面的语句进行定义，EMAIL在整个脚本运行中是一个值为[e-mail]的不变的常量，甚至在你把试图把它重新赋值时也不会改变（通常是不小心）。例如，下面的代码输出为[e-mail] (试图重定义一个常量会引起一个级别为Notice的报错信息)。

[php] view plaincopy

1. <?php  
2.    
3.   define('EMAIL', '[e-mail]');  
4.   define('EMAIL', '[e-mail]');  
5.   echo EMAIL;  
6.    
7. ?>  

正如前面所讨论过的，register_globals可使确定一个变量如$email的来源变得十分困难。所有来自外部数据源的数据在被证明合法前都应该被认为被污染的。

尽管一个用户能用多种方式发送数据，大多数应用还是依据表单的提交结果进行最重要的操作。另外一个攻击者只要通过操纵提交数据（你的应用进行操作的依据）即可危害，而表单向他们方便地开放了你的应用的设计方案及你需要使用的数据。这也是表单处理是所有Web应用安全问题中的首先要关心的问题的原因。

一个用户可以通过三种方式您的应用传输数据：

通过URL(如GET数据方式)

通过一个请求的内容（如POST数据方式）

通过HTTP头部信息（如Cookie）

由于HTTP头部信息并不与表单处理直接相关，在本章中不作讨论。通常，对GET与POST数据的怀疑可以推及到所有输入，包括HTTP头部信息。

表单通过GET或POST请求方式传送数据。当你建立了一个HTML表单，你需要在form标签的method属性中指定请求方式：

[php] view plaincopy

1. <form action="http://example.org/register.php" method="GET">  

在前例中，请求方式被指定为GET，浏览器将通过URL的请求串部分传输数据，例如，考虑下面的表单：

[php] view plaincopy

1. <form action="http://example.org/login.php" method="GET">  
2.   <p>Username: <input type="text" name="username" /></p>  
3.   <p>Password: <input type="password" name="password" /></p>  
4.   <p><input type="submit" /></p>  
5. </form>  

如果我输入了用户名gonn和密码mypass，在表单提交后，我会到达URL为http://example.org/login.php?username=gonn&password=mypass的页面。该URL最简单的合法HTTP/1.1请求信息如下：

[php] view plaincopy

1. GET /login.php?username=gonn&password=mypass HTTP/1.1  
2. Host: example.org  

并不是必须要使用HTML表单来请求这个URL，实际上通过HTML表单的GET请求方式发送数据与用户直接点击链接并没有什么不同。记住如果你在GET方式提交的表单中的action中试图使用请求串，它会被表单中的数据所取代。而且，如果你指定了一个非法的请求方式，或者请求方式属性未写，浏览器则会默认以GET方式提交数据。

为说明POST请求方式，只对上例进行简单的更改，考虑把GET请求方式更改为POST的情况：

[php] view plaincopy

1. <form action="http://example.org/login.php" method="POST">  
2.   <p>Username: <input type="text" name="username" /></p>  
3.   <p>Password: <input type="password" name="password" /></p>  
4.   <p><input type="submit" /></p>  
5. </form>  

如果我再次指定用户名gonn和密码mypass，在提交表单后，我会来到http://example.org/login.php页面。表单数据在请求的内部而不是一个URL的请求串。该方式最简单的合法HTTP/1.1请求信息如下：

[php] view plaincopy

1. POST /login.php HTTP/1.1  
2. Host: example.org  
3. Content-Type: application/x-www-form-urlencoded  
4. Content-Length: 30  
5.   
6. username=gonn&password=mypass  

现在你已看到用户向你的应用提供数据的主要方式。在后面，我们将会讨论攻击者是如何利用你的表单和URL作为进入你的应用的缺口的。