问题标签 [secure-coding]

作为我的网络应用程序的一部分。这是我正在考虑的一些代码（我不是最好的 PHP 程序员，但我为一个项目编写了自己的应用程序）：

我想知道，如果我的登录结构是这样的，这是否安全。

• http://site.com/
• https://site.com/login.php
• https://site.com/login-action.php（MySQL登录检查，带md5密码检查）
• http://site.com/cp/members-only-page.php

我正在使用 MD5(); 但我对脚本使用的整个 $_session["user"]="1" 方法并不完全满意；vBulletin 之类的人肯定不会这样做吗？

感谢回复。我什至没有提到这是 Ajax 的想法哈！

更新 - 我的方法的伪代码。SSL 上的一切。

按照我的理解，上面的代码允许执行任意代码（或程序）——是什么让这个漏洞变得脆弱，人们如何利用这一点？

在 Ruby 中是否有安全擦除文件的 Gem 或方法？我想避免系统上可能不存在的外部程序。

通过“安全擦除”，我指的是覆盖文件内容。

在许多关于保护文件上传的文章中都说，最好准备一个扩展名白名单而不是黑名单。但是这种方法似乎对双扩展名文件有一些问题。例如，我有一个像 'pdf','doc','docx' 这样的白名单，但这个白名单对于 apple.php.doc 或 apple.doc.php 返回 true。

如何编写安全扩展检查功能？

我正在使用带有 Visual C++ 2008 的 systemC。我编写了一个简单的 hello world 程序。但是我反复收到此错误：

警告 C4996：“sprintf”：此函数或变量可能不安全。

为什么会这样？我将不胜感激任何帮助。

我有一个登录表单：

我希望login.php页面重定向到使用https.

我不想将用户发送到，https://.../login.php因为他们可能会更改链接。但我想在解析登录表单数据并登录用户之前在服务器端进行重定向。

我发现并举例：

但我没有$_SERVER["HTTPS"]如果我var_dump($_SERVER);

我确实有$_SERVER['SERVER_PORT']女巫是 80。

有任何想法吗？

谢谢

我有一个网站，有一个简单的登录表单。

表单发布到login.php

在里面login.php我检查用户名和密码并重定向到特定页面。

一切都很好，直到我遇到安全问题。从 PCI 合规性我得到这个：

所有包含敏感信息的 Web 应用程序通信都应使用 SSL/TLS (HTTPS) 传输。如果使用从 HTTP 到 HTTPS 的重定向来尝试纠正此发现，请确保此类重定向发生在系统的服务器端（例如通过使用 HTTP“Location”标头元素）并且重定向不依赖于客户端（浏览器）端。

然后我进入login.php并在顶部添加了这段代码：

如果我在此更改后尝试登录，则登录过程似乎正常，但我不确定这是否解决了问题。

注意：
我不能将网站设置为：https://www.website.com因为这会引发安全警告。我确实有一个有效的证书。

任何想法我该如何解决这个问题？

谢谢

编辑：

安全警告是关于访问不安全的网站，红色矩形询问我是否确定要访问该网站，我可以将其添加到例外列表

如果我在例外列表中添加证书，则此警报仅发生一次

快速提问：我将 codesourcery g++ lite 用于 arm-none-eabi。我在包含文件夹中进行了搜索，以查看是否有 strcpy_s 和 sprintf_s 之类的安全功能，但没有得到任何结果。

codesourcery 是否提供这些安全功能（可能使用不同的名称？）

在 Mentor Graphics 网站上，我没有找到这个问题的答案（无论是在谷歌上......）。

我是否必须在我的项目中添加此功能的第三方版本？

如何为不同的操作系统有效地使用 malloc() 函数。

我想知道 PHP 序列化函数是否 100% 安全，如果我们将序列化的数据存储到数据库中并想在获取它之后做一些事情，这会是一个好方法吗？

例如：-我有一个具有不同用户权限的网站，现在我想将特定权限的权限设置存储到我的数据库中（我要存储的数据是通过 php 序列化函数完成的），现在当用户登录时我想获取这些数据并为客户设置权限。

现在我可以做这件事了，我想知道的是，这是最好的方法还是可以做更有效的事情。

另外，我正在浏览 php 手册并找到了这段代码，任何人都可以解释一下这段代码中发生了什么：- [特别是为什么使用 base64_encode？]

另外，如果有人可以向我提供他们自己的代码，让我以最有效的方式做这件事。

我有一个问题，我有很多字段可以作为权限，现在说我有 45 个管理员模块和 30 个模块供用户在权限/特权下使用。将来（因为我一直在做这个项目）我将添加越来越多的模块，比如说大约 100 个，那么我将如何定义权限。甚至我正在添加一个模块来创建具有自定义权限的自定义组。我将如何实现它，同时牢记效率？请帮助：|

我不会使用序列化数据进行搜索

我的数据库：-

注意：-用户权限将通过以下方式授予：privileges_level

注意：-在privileges_permissions 我想以序列化形式添加所有权限。

谢谢。