位置: 编程技术 - 正文

YII Framework框架教程之安全方案详解(yii框架教程)

编辑:rootadmin

推荐整理分享YII Framework框架教程之安全方案详解(yii框架教程),希望有所帮助,仅作参考,欢迎阅读内容。

文章相关热门搜索词:yii2框架的优缺点,yii2框架的优缺点,yii2框架结构,yii2框架运行原理,yii2框架,yii2框架的优缺点,yii2框架运行原理,yii框架教程,内容如对您有帮助,希望把文章链接给更多的朋友!

本文讲述了YII Framework框架的安全方案。分享给大家供大家参考,具体如下:

web应用的安全问题是很重要的,在“黑客”盛行的年代,你的网站可能明天都遭受着攻击,为了从某种程度上防止被攻击,YII提供了防止攻击的几种解决方案。当然这里讲的安全是片面的,但是值得一看。

官方提供的解决方案有:如下

1. 跨站脚本攻击的防范

跨站脚本攻击(简称 XSS),即web应用从用户收集用户数据。 攻击者常常向易受攻击的web应用注入JavaScript,VBScript,ActiveX,HTML或 Flash来迷惑访问者以收集访问者的信息。 举个例子,一个未经良好设计的论坛系统可能不经检查就显示用户所输入的内容。 攻击者可以在帖子内容中注入一段恶意的JavaScript代码。 这样,当其他访客在阅读这个帖子的时候,这些JavaScript代码就可以在访客的电脑上运行了。

一个防范XSS攻击的最重要的措施之一就是:在显示用户输入的内容之前进行内容检查。 比如,你可以对内容中的HTML进行转义处理。但是在某些情况下这种方法就不可取了,因为这种方法禁用了所有的HTML标签。

Yii集成了HTMLPurifier并且为开发者提供了一个很有用的组件CHtmlPurifier, 这个组件封装了HTMLPurifier类。它可以将通过有效的审查、安全和白名单功能来把所审核的内容中的所有的恶意代码清除掉,并且确保过滤之后的内容过滤符合标准。

CHtmlPurifier组件可以作为一个widget或者filter来使用。 当作为一个widget来使用的时候,CHtmlPurifier可以对在视图中显示的内容进行安全过滤。 以下是代码示例:

2. 跨站请求伪造攻击的防范

跨站请求伪造(简称CSRF)攻击,即攻击者在用户浏览器在访问恶意网站的时候,让用户的浏览器向一个受信任的网站发起攻击者指定的请求。 举个例子,一个恶意网站有一个图片,这个图片的src地址指向一个银行网站: 如果用户在登陆银行的网站之后访问了这个恶意网页,那么用户的浏览器会向银行网站发送一个指令,这个指令的内容可能是“向攻击者的帐号转账元”。 跨站攻击方式利用用户信任的某个特定网站,而CSRF攻击正相反,它利用用户在某个网站中的特定用户身份。

要防范CSRF攻击,必须谨记一条:GET请求只允许检索数据而不能修改服务器上的任何数据。 而POST请求应当含有一些可以被服务器识别的随机数值,用来保证表单数据的来源和运行结果发送的去向是相同的。

Yii实现了一个CSRF防范机制,用来帮助防范基于POST的攻击。 这个机制的核心就是在cookie中设定一个随机数据,然后把它同表单提交的POST数据中的相应值进行比较。

默认情况下,CSRF防范是禁用的。如果你要启用它,可以编辑应用配置 中的组件中的CHttpRequest部分。

YII Framework框架教程之安全方案详解(yii框架教程)

代码示例:

要显示一个表单,请使用CHtml::form而不要自己写HTML代码。因为CHtml::form可以自动地在表单中嵌入一个隐藏项,这个隐藏项储存着验证所需的随机数据,这些数据可在表单提交的时候发送到服务器进行验证。

3. Cookie攻击的防范

保护cookie免受攻击是非常重要的。因为session ID通常存储在Cookie中。 如果攻击者窃取到了一个有效的session ID,他就可以使用这个session ID对应的session信息。

这里有几条防范对策:

您可以使用SSL来产生一个安全通道,并且只通过HTTPS连接来传送验证cookie。这样攻击者是无法解密所传送的cookie的。

设置cookie的过期时间,对所有的cookie和seesion令牌也这样做。这样可以减少被攻击的机会。

防范跨站代码攻击,因为它可以在用户的浏览器触发任意代码,这些代码可能会泄露用户的cookie。

在cookie有变动的时候验证cookie的内容。

Yii实现了一个cookie验证机制,可以防止cookie被修改。启用之后可以对cookie的值进行HMAC检查。

Cookie验证在默认情况下是禁用的。如果你要启用它,可以编辑应用配置 中的组件中的CHttpRequest部分。

代码示例:

一定要使用经过Yii验证过的cookie数据。使用Yii内置的cookies组件来进行cookie操作,不要使用$_COOKIES。

更多关于Yii相关内容感兴趣的读者可查看本站专题:《Yii框架入门及常用技巧总结》、《php优秀开发框架总结》、《smarty模板入门基础教程》、《php日期与时间用法总结》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》

希望本文所述对大家基于Yii框架的PHP程序设计有所帮助。

YII Framework框架教程之缓存用法详解 本文实例讲述了YIIFramework框架缓存用法。分享给大家供大家参考,具体如下:缓存的产生原因众所周知。于是YII作为一个高效,好用的框架,不能不支

YII Framework框架教程之国际化实现方法 本文讲述了YIIFramework框架教程之国际化实现方法。分享给大家供大家参考,具体如下:一个web应用,发布到互联网,就是面向全球用户。用户在世界的

ThinkPHP框架安全实现分析 ThinkPHP框架是国内比较流行的PHP框架之一,虽然跟国外的那些个框架没法比,但优点在于,恩,中文手册很全面。最近研究SQL注入,之前用TP框架的时候

标签: yii框架教程

本文链接地址:https://www.jiuchutong.com/biancheng/290957.html 转载请保留说明!

上一篇:YII Framework框架教程之日志用法详解(yii框架教程)

下一篇:YII Framework框架教程之缓存用法详解(yii2框架从入门到精通)

  • 房地产企业的样板房费用计入哪个科目
  • 个人所得税的计提和缴纳分录怎么做
  • 项目固定资产投资包括
  • 私募基金如何做大规模
  • 企业所得税减免优惠政策
  • 2020年个税申报流程视频
  • 如何根据销售额降序排序
  • 每月记账报税客户怎么填
  • 一般纳税人厂房出租怎么开票
  • 取暖费摊销期限是多少年
  • 税务局返还的三种税种
  • 从一个公司到另一个公司公积金
  • 发票认证当月必须抵扣吗
  • 法人把自己的车租给公司交什么税
  • 缴交社保基金会计分录怎么写?
  • 材料验收入库并结转差异记账凭证
  • 防洪费计税基础
  • 利息收入属于现金流入吗
  • 分支机构享受了税收优惠,是由总机构备案还是分支机构备案?
  • 无形资产属于什么行业
  • 咨询费如何入账
  • 发票修复是怎么回事
  • 装修费怎么摊销,租期两年
  • 工资薪金支出的扣除标准
  • 联营企业分得的利润应计入什么科目
  • 产值税收是什么意思
  • bios设置的完整说法
  • ibm笔记本进bios
  • 其他应付款的会计分录
  • 增值税专用发票怎么开
  • PHP编程中的__clone()方法使用详解
  • 购买理财产品收到的利息分录
  • 票据承兑与票据贴现的区别
  • php get post
  • 电脑桌面小工具软件
  • 公司二手车转个人
  • 债券溢折价是什么意思
  • 公司要交什么税个人卖给公司的二手车
  • 固定资产售卖的账务处理
  • 逆回购利息计算公式
  • 间接人工费用预算工时分配率将提高10%
  • yolov3模型训练
  • 合同没有约定发票税点谁承担怎么办
  • 日常费用报销表格
  • 新注册企业实收资本没到账怎么处理
  • 贷款利息发票可以随便开吗
  • python动态参数应用
  • 学习笔记——Servlet
  • 登记会计账簿的实训总结
  • 劳务工资缴税标准
  • 零申报不报税有什么后果
  • 购入不动产的税率是多少
  • 长期股权投资投资损益的确认
  • 保险合同包含什么
  • 商誉是成本法还是收入法
  • 新成立的小规模纳税人什么时候报税
  • 营改增后建筑企业税负
  • 用于集体福利的进项税额怎么处理
  • 销售费用的增值税是进项还是销项
  • 支付利息的账务处理
  • 多计费用以前年度损益调整账务处理
  • 个体注销名下的车辆需要过户吗
  • 设备的验证服务包括
  • 公司无形资产可以作为公司注册资金吗
  • 下列哪种情况能使血管升压素释放增加
  • win8屏幕显示不全
  • win8系统怎么创建局域网
  • linux里cat命令
  • LINUX系统管理员维护招聘
  • agentctl.dll
  • itunes清理iphone垃圾
  • 在Linux系统中安装Anaconda
  • 深入剖析kubernetes pdf
  • jquery animation
  • 批处理结束后不关闭窗口
  • javascript简单代码
  • json转复杂对象
  • 借助FileReader实现将文件编码为Base64后通过AJAX上传
  • 对税务工作者的赞美
  • 税控盘如何查询季度统计
  • 免责声明:网站部分图片文字素材来源于网络,如有侵权,请及时告知,我们会第一时间删除,谢谢! 邮箱:opceo@qq.com

    鄂ICP备2023003026号

    网站地图: 企业信息 工商信息 财税知识 网络常识 编程技术

    友情链接: 武汉网站建设