PHP安全基础 － 数据库及SQL［整理］

导读：PHP更像是一个平台——沟通各种数据源与用户，而不象是一种编程语言。与任何的远程数据存储方式相同，数据库本身也存在着一些风险。对和数据库的通信数据，进行过滤和转义，不信任来自数据库的数据，做冗余的安全措施。SELECT对程序而言，是输出。

详细：

1 访问权限暴露

为了方便管理，将数据库信息保存为一个db_cnf.inc的文件放置在网站的根目录，由于URL的确定性，导致了这些敏感信息的泄漏风险。

事实上，只需要把必须通过URL访问的资源放置在网站的根目录即可。另一种做法是：

命名为db_cnf.php文件，因为都是静态变量，不会被输出给客户端。

2 SQL注入

接收时候过滤，入库时候转义。

MYSQL使用PDO进行参数化查询。

最低也得使用addslashes进行防范。

3 数据暴露

对敏感数据进行加密存储，密钥不要泄漏。