除了 SQL 注入之外，如果您必须选择 2 个其他安全漏洞来防范，那会是什么？ [关闭]答案

【问题标题】：Besides SQL Injections, if you would have to choose 2 other security vulnerabilities to protect against, what would those be? [closed]除了 SQL 注入之外，如果您必须选择 2 个其他安全漏洞来防范，那会是什么？ [关闭]
【发布时间】：2013-07-16 00:52:12
【问题描述】：

我有一个使用各种数据库操作的站点，例如 SELECT、INSERT、UPDATE 和 DELETE。我正在将所有 mysqli 切换到 PHP PDO。有人告诉我，切换到 PDO 应该有助于保护我的网站免受 SQL 注入的影响，因此应该涵盖这一点。

除了 SQL 注入之外，如果您必须选择 2 个其他安全漏洞来防范，那会是什么？

如果您可以为我提供每个场景的一些代码示例，我们将不胜感激。

【问题讨论】：

PDO 不是灵丹妙药。你需要利用它的prepared statements。否则毫无意义。（并不是所有的东西都可以是一个绑定参数！）-- 对其他漏洞的查询太广泛了。
与 mysqli 相比，pdo 提供零安全优势。
感谢马里奥的回复。那么您建议我采取的最佳方法是什么？我会接受您的建议并确保使用准备好的语句，但是您还建议我做些什么来保证它的安全？
@zeckdude 我会阅读此owasp.org/index.php/OWASP_Testing_Guide_v4_Table_of_Contents 以了解它们的所有不同类型的攻击、它们发生的原因以及如何防止它们。

标签： php security pdo sql-injection

【解决方案1】：

仅仅切换到 PDO 并不能神奇地使您的所有 SQL 代码安全。您仍然需要正确使用它，将动态值传递给准备好的查询。而且这仍然没有涵盖动态 SQL 查询的所有情况。参数可以代替 SQL 表达式中的常量值，但不能代替动态表名、动态列名、动态 SQL 表达式。 没有单一的解决方案可以解决所有 SQL 注入问题， 即使每个解决方案本身都有自己的用处。

您可能想阅读我的演示文稿SQL Injection Myths and Fallacies，这将有助于阐明这一点。

对于其他安全故障，有相当多类型的漏洞。感谢您寻求了解更多以设计安全网站。软件开发人员社区中的每个人都应该倡导良好的安全实践。

这里有一些很好的资源：

OWASP Top Ten Project 代表了关于最关键的 Web 应用程序安全漏洞是什么的广泛共识。项目成员包括来自世界各地的各种安全专家，他们分享了他们的专业知识来制作此列表。此外，OWASP.org 网站还有许多其他资源可用于研究常见网络安全威胁的性质和补救措施。
CWE/SANS Top 25 Most Dangerous Software Errors 列出了可能导致软件严重漏洞的最普遍和最严重的错误。它们通常很容易找到，也很容易被利用。它们很危险，因为它们经常允许攻击者完全接管软件、窃取数据或完全阻止软件运行。
19 Deadly Sins of Software Security，作者：Michael Howard 和 David LeBlanc，以及 John Viega，2005 年。
Essential PHP Security Chris Shiflett，2005 年。

【讨论】：

【解决方案2】：

这就是PDO与prepared statements一起使用的意义，如果你今天开始使用PDO，那么你就不用担心其他'SQL注入'问题了，也许是 XSS 攻击，但这是另一个主题，与 MySQL/PDO 主题无关。

您应该是安全的，使用PDO 不用担心！

有关更多信息，请查看我在 PDO here 上的其他答案

【讨论】：

完全可以用 PDO 编写不安全的代码。
感谢西蒙的回复！ XSS 攻击是除了 SQL 注入之外我需要关注的唯一其他事情？
@zeckdude 好吧，黑客可以通过多种方式操纵您的网站，例如标头注入、会话固定……但就维护数据库而言，PDO 几乎是最安全的方式今天存在。请记住在 PDO 中使用准备好的语句。