php - PHP 5.4 中是否有 safe_mode 的替代方案？

Question

PHP 5.4 终于删除了safe_mode和魔术引号。

他们有什么替代品吗？提升安全等级？

Answer 1

我认为删除这些特性的意义在于 PHP 开发团队承认在应用程序堆栈中实现安全特性/机制并不是保护 Web 应用程序的灵丹妙药。

在 PHP 中不应该有这些功能的直接代码/配置替代品。反而：

• 应用程序开发人员应该更明确地了解诸如从请求和环境中读取值以及验证和转义值之类的事情，而不是让功能喜欢register_globals和magic_quotes不加选择地这样做。
• 系统工程师和系统开发人员应该考虑应用程序所需的所有文件系统资源的权限，而不是safe_mode限制内置函数的可访问性和有效性。

我相信有人会尝试弄清楚如何重新创建这些功能，并且会有很多后期采用者选择留在早期版本的 PHP 上，而不是直接解决安全问题。但是，如果您真的担心安全性，请不要寻找捷径。