Безопасность скрипта.

[Sat]

Безопасность скрипта.

Наверное эта тема интересует многих начинающих разработчиков использующих ПХП. Можете ли вы перечислить основные прорехи в безопасности.
Например мой сайт:
1. Не допускает вставки в базу данных без проверки на addslashes и htmlspecialchars. (для этого написан специальный класс, и я использую только его.)

2. Не допускает подмены ID сессии с другой машины. Сразу при старте скрипта проверяет IP с сохранённым ранее. Если не совпадает session_destroy().

3. имя переменной PHPSESSID изменено на собственное.

4. PHP запускается в безопасном режиме.

5. Пользователю доступен только файл index.php и директория с рисунками. Остально лежит в папке закрытой на доступ через web.

Какие ещё могут быть предприняты методы для увеличения безопасности скрипта, не ограничивающие его возможностей.

 

[Фанат]

1. какое отношение к базе имеет htmlspecialchars?
3. Какой в этом смысл?
4. Какой в этом смысл хозяину сайта?
5. Не вижу преимуществ по сравнению с другими способами.

Какие ещё могут быть предприняты методы

ты пишешь при E_ALL?
инициализируешь все переменные?

 

[Макс]

1.1 стоит почитать фак http://phpfaq.ru/slashes
1.2 htmlspecialchars надо делать при выводе а не при записи.

2. если ты делаешь session_destroy то тем самым завершишь сессию и настоящего юзера и хакера.

3. пользы в этом нет, хотя я тоже меняю просто из эстетических соображений

------
про E_ALL уже сказали
register_globals = Off
иногда надо защищаться от ввода длинного текста без пробелов (такой текст растянет таблицы и испортит дизайн)

 

[lucas]

Самая большая прореха в безопасности: кривые руки разработчика.

А уж при наличии оных могут появляться разнообразнейшие шедевры еще похлеще, чем, например, хрестоматийный инклуд файла, имя которого берется из запроса без должных проверок.

-~{}~ 05.09.04 21:41:

Кстати, "многим начинающим разработчикам" для начала следует прочитать, например, следующее (за идеальность не ручаюсь):

http://detail.phpclub.ru/article/php_security1
http://detail.phpclub.ru/article/php_security2
http://detail.phpclub.ru/article/php_security3

http://detail.phpclub.ru/article/2003-09-23

http://detail.phpclub.ru/article/2003-12-01