PHP编程：第4版

安全概要回顾

｜

329

system("ls {$directory}");

如果用户传递

"/tmp;cat /etc/passwd"

作为

$directory

的参数值，你的密码文件将会

由于

system()

执行了下面的命令而显示出来

：

ls /tmp; cat /etc/passwd

在必须将“用户提供”的参数传递到命令行的情况下，要在字符串上用

escapeshellarg()

来转义任何对命令行有特殊含义的序列

：

$cleandArg = escapeshellarg($directory);

system("ls {$cleandArg}");

现在，如果用户传递

"/tmp;cat /etc/passwd"

，实际运行的命令是

：

ls '/tmp;cat /etc/passwd'

避开命令行脚本的最简单方式是，不管什么程序，尽量调用

PHP

代码，而不是调用外面

的

shell

。内置函数可能比任何涉及命令行的东西更安全。

数据加密问题

要讨论的最后一个主题是，对希望不能以原有形式查看的数据进行加密。这主要适用于

网站密码，但也有其他例子，如社会安全号码（加拿大的社会保险号码）、信用卡号码

和银行账户号码。

查看

PHP

网站

FAQ

页面上

注

1

的讨论，可找到满足你为特定数据加密的最佳方法。

更多信息

下面的资源可以帮助你扩展本章前面介绍的知识

：

●

Chris Shiflett

编写的

Essential PHP Security

一书（由

O

’

Reilly

出版）和它的网

站

注

2

。

●

开放网站程序安全项目，参见链接

25

指向的网站。 ...