位置: 编程技术 - 正文

YII Framework框架教程之安全方案详解(yii框架教程)

编辑:rootadmin

推荐整理分享YII Framework框架教程之安全方案详解(yii框架教程),希望有所帮助,仅作参考,欢迎阅读内容。

文章相关热门搜索词:yii2框架的优缺点,yii2框架的优缺点,yii2框架结构,yii2框架运行原理,yii2框架,yii2框架的优缺点,yii2框架运行原理,yii框架教程,内容如对您有帮助,希望把文章链接给更多的朋友!

本文讲述了YII Framework框架的安全方案。分享给大家供大家参考,具体如下:

web应用的安全问题是很重要的,在“黑客”盛行的年代,你的网站可能明天都遭受着攻击,为了从某种程度上防止被攻击,YII提供了防止攻击的几种解决方案。当然这里讲的安全是片面的,但是值得一看。

官方提供的解决方案有:如下

1. 跨站脚本攻击的防范

跨站脚本攻击(简称 XSS),即web应用从用户收集用户数据。 攻击者常常向易受攻击的web应用注入JavaScript,VBScript,ActiveX,HTML或 Flash来迷惑访问者以收集访问者的信息。 举个例子,一个未经良好设计的论坛系统可能不经检查就显示用户所输入的内容。 攻击者可以在帖子内容中注入一段恶意的JavaScript代码。 这样,当其他访客在阅读这个帖子的时候,这些JavaScript代码就可以在访客的电脑上运行了。

一个防范XSS攻击的最重要的措施之一就是:在显示用户输入的内容之前进行内容检查。 比如,你可以对内容中的HTML进行转义处理。但是在某些情况下这种方法就不可取了,因为这种方法禁用了所有的HTML标签。

Yii集成了HTMLPurifier并且为开发者提供了一个很有用的组件CHtmlPurifier, 这个组件封装了HTMLPurifier类。它可以将通过有效的审查、安全和白名单功能来把所审核的内容中的所有的恶意代码清除掉,并且确保过滤之后的内容过滤符合标准。

CHtmlPurifier组件可以作为一个widget或者filter来使用。 当作为一个widget来使用的时候,CHtmlPurifier可以对在视图中显示的内容进行安全过滤。 以下是代码示例:

2. 跨站请求伪造攻击的防范

跨站请求伪造(简称CSRF)攻击,即攻击者在用户浏览器在访问恶意网站的时候,让用户的浏览器向一个受信任的网站发起攻击者指定的请求。 举个例子,一个恶意网站有一个图片,这个图片的src地址指向一个银行网站: 如果用户在登陆银行的网站之后访问了这个恶意网页,那么用户的浏览器会向银行网站发送一个指令,这个指令的内容可能是“向攻击者的帐号转账元”。 跨站攻击方式利用用户信任的某个特定网站,而CSRF攻击正相反,它利用用户在某个网站中的特定用户身份。

要防范CSRF攻击,必须谨记一条:GET请求只允许检索数据而不能修改服务器上的任何数据。 而POST请求应当含有一些可以被服务器识别的随机数值,用来保证表单数据的来源和运行结果发送的去向是相同的。

Yii实现了一个CSRF防范机制,用来帮助防范基于POST的攻击。 这个机制的核心就是在cookie中设定一个随机数据,然后把它同表单提交的POST数据中的相应值进行比较。

默认情况下,CSRF防范是禁用的。如果你要启用它,可以编辑应用配置 中的组件中的CHttpRequest部分。

YII Framework框架教程之安全方案详解(yii框架教程)

代码示例:

要显示一个表单,请使用CHtml::form而不要自己写HTML代码。因为CHtml::form可以自动地在表单中嵌入一个隐藏项,这个隐藏项储存着验证所需的随机数据,这些数据可在表单提交的时候发送到服务器进行验证。

3. Cookie攻击的防范

保护cookie免受攻击是非常重要的。因为session ID通常存储在Cookie中。 如果攻击者窃取到了一个有效的session ID,他就可以使用这个session ID对应的session信息。

这里有几条防范对策:

您可以使用SSL来产生一个安全通道,并且只通过HTTPS连接来传送验证cookie。这样攻击者是无法解密所传送的cookie的。

设置cookie的过期时间,对所有的cookie和seesion令牌也这样做。这样可以减少被攻击的机会。

防范跨站代码攻击,因为它可以在用户的浏览器触发任意代码,这些代码可能会泄露用户的cookie。

在cookie有变动的时候验证cookie的内容。

Yii实现了一个cookie验证机制,可以防止cookie被修改。启用之后可以对cookie的值进行HMAC检查。

Cookie验证在默认情况下是禁用的。如果你要启用它,可以编辑应用配置 中的组件中的CHttpRequest部分。

代码示例:

一定要使用经过Yii验证过的cookie数据。使用Yii内置的cookies组件来进行cookie操作,不要使用$_COOKIES。

更多关于Yii相关内容感兴趣的读者可查看本站专题:《Yii框架入门及常用技巧总结》、《php优秀开发框架总结》、《smarty模板入门基础教程》、《php日期与时间用法总结》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》

希望本文所述对大家基于Yii框架的PHP程序设计有所帮助。

YII Framework框架教程之缓存用法详解 本文实例讲述了YIIFramework框架缓存用法。分享给大家供大家参考,具体如下:缓存的产生原因众所周知。于是YII作为一个高效,好用的框架,不能不支

YII Framework框架教程之国际化实现方法 本文讲述了YIIFramework框架教程之国际化实现方法。分享给大家供大家参考,具体如下:一个web应用,发布到互联网,就是面向全球用户。用户在世界的

ThinkPHP框架安全实现分析 ThinkPHP框架是国内比较流行的PHP框架之一,虽然跟国外的那些个框架没法比,但优点在于,恩,中文手册很全面。最近研究SQL注入,之前用TP框架的时候

标签: yii框架教程

本文链接地址:https://www.jiuchutong.com/biancheng/290957.html 转载请保留说明!

上一篇:YII Framework框架教程之日志用法详解(yii框架教程)

下一篇:YII Framework框架教程之缓存用法详解(yii2框架从入门到精通)

  • 长租公寓 税费
  • 销售是销项税还是进项税
  • 小规模纳税人申报时间
  • 讲师培训费开票税点是?
  • 小规模纳税人综合税负
  • 自建的固定资产可以抵扣吗
  • 开具发票时如何选择对应的商品分类编码?
  • 离境退税政策文件
  • 借款业务的会计分录
  • 不动产出租属于什么收入
  • 以前借款没做账现在收回来怎么做账务处理?
  • 贸易公司代采购怎么做账
  • 城建税教育附加地方教育附加的税率
  • 施工企业营改增税费有哪些
  • 年初未分配利润加本年净利润等于
  • 已认证未抵扣的进项税如何报税
  • 残保基金属税金怎么算
  • 借款合同印花税纳税期限
  • 受赠资产的价值和由捐赠企业负担的增值税
  • 出口已使用过的设备退税吗
  • 给单位员工报销电话费怎么做账务处理
  • 固定资产折旧可以不留残值吗
  • 海外佣金税务怎么缴纳
  • 费用摊销的常用方法有哪些
  • 员工产假期间工资是社保局发吗
  • 物流公司搬运货物合法吗
  • 扣缴单位无有效税种认定什么意思
  • 新车车祸报废
  • linux bsub
  • 关于坏账准备的论文
  • 红字发票开具后蓝字发票开具时限的问题
  • 使用PHP+MySql+Ajax+jQuery实现省市区三级联动功能示例
  • 工程施工和工程结算科目
  • 总结一些php中好用的软件
  • 对外支付佣金需要扣缴所得税吗
  • 领用包装物会计处理
  • springmvc常见问题
  • php单例模式懒汉和饿汉
  • dhcp命令行
  • 研发费用凭证是发票吗
  • 劳务费个税扣税
  • python字符串isdigit
  • SQLite中重置自动编号列的方法
  • css样式居中
  • 如何算基数
  • 待处理财产损益是备抵类科目吗
  • 收到证券公司信息
  • 返利冲减销售收入还是进费用
  • 土地增值税间接转让怎么算
  • 安全生产费实际发生
  • 支付给职工以及为职工支付的现金增加说明什么
  • 企业应付职工薪酬的会计核算
  • 预收账款如何做账务处理
  • 委托生产的会计分录
  • 固定资产后续支出计入的科目
  • 存货入库无法查明原因的短缺
  • 年末本年利润没有结转影响报税吗
  • 交上年企业所得税怎么做会计分录
  • 核定征收方式有哪些
  • mysql 5.7.30安装
  • 存储过程的输出参数有且只能有一个
  • win功能下载所需文件
  • 更换主板也不用换硅脂吗
  • win8磁盘分区合并
  • win8.1怎么关闭更新
  • windows7怎么给电脑加密码
  • cocos2dx 教程
  • cocos2d schedule
  • auto.js粘贴代码
  • js实现页面跳转跳到主页
  • jquery添加删除属性
  • javascriptcsdn
  • jquery示例
  • 理解Python中的变量
  • jQuery插件封装时如要实现链式编程,需要
  • python的介绍
  • 农产品销售个人所得税
  • 购房发票的发票代码是哪个
  • 残疾人交房产税有什么优惠
  • 云南烟草税收是多少
  • 免责声明:网站部分图片文字素材来源于网络,如有侵权,请及时告知,我们会第一时间删除,谢谢! 邮箱:opceo@qq.com

    鄂ICP备2023003026号

    网站地图: 企业信息 工商信息 财税知识 网络常识 编程技术

    友情链接: 武汉网站建设