浅谈php(codeigniter)安全性注意事项

1、httponly

session一定要用httponly的否则可能被xxs攻击，利用js获取cookie的session_id。

要用框架的ci_session，更长的位数，httponly，这些默认都配好了。

不要用原生的phpsession，而要用ci_session。ci_session位数更长。

如果要用原生的session，应该这样设置（php.ini）：

session.sid_length //sid的长度，这里要加长，默认的太短了

session.cookie_httponly = 1原生的session就会变成httponly了。

2、phpinfo

一定要关闭phpinfo页面，dump的请求信息可能会被攻击者利用。比如cookie信息。

3、强制全站https

通过cdn跳转，本地开发环境也要配https。如果有的环节不能使用https，比如消息推送，那么可以新建一个站点。

4、Strict mode

session.use_strict_mode = 1

只使用服务端自己生成的session id，不使用用户客户端生成的session id。

5、CSRF跨站请求伪造

A的cookie里有站点example.com的session id，并且未过期，B通过放一个图片在论坛上，引诱A去点击这个图片，这个图片会发起一个请求，请求伪装成example.com，A的浏览器信以为真，将example.com的cookie附加到了这个请求上面，这个请求信息被B的代码截获并且通过异步请求发送给了B，B通过这个cookie登录了A在example.com的账户。

CI有防CSRF机制，即他会在表单里面自动的插入一个隐藏的CSRF字段。需要进行如下设置：

application/config/config.php:

$config['csrf_protection'] = TRUE;

注意，这个开了以后，所有的向外站进行的请求都被阻止了。如果我们网站有向其他网站获取数据的行为，比如说调用api，那就不可以启用这个开关。

6、xss攻击

CI会对post数据进行xss过滤，只要这样调用：

$this->input->post('a',true);

只要加一个参数true，就可以对post的数据进行xss过滤。

7、重放

你把用户名密码加密了，传到服务器进行登录验证，攻击者并不需要解密你这些用户名密码，他只要把截获的这些数据包，重新再操作一次，就可以实现登录，这就是重放。

5、6的防御措施：每个表单包含一个隐藏的只能用一次的随机码token。

只用一次的token实现：redis 到期失效 使用后直接删掉

8、总结：用户安全登录流程

<1>session基本策略：

(1)session仅作会话session，关闭浏览器即失效；

(2)session的有效期设置得越短越安全，比如说60秒；

(3)相应的需要修改session的刷新时间，比如说30秒；

(4)设置用redis存储session。

配置如下：

在php.ini：

session.gc_maxlifetime = 60

这个是session的有效期，默认是1440秒，即24分钟，改为比如说60秒。当60秒后，客户端跟服务端这个sid对得上的话，也是无效的，应该在60秒之前刷新一次页面更新sid，怎么更新下面有说；

在application/config/config.php：

$config['sess_driver'] = 'redis';//设为用redis存储session
$config['sess_cookie_name'] = 'ci_session';
$config['sess_expiration'] = 0;//设为会话session，关闭浏览器，客户端cookie即失效
$config['sess_save_path'] = 'tcp://127.0.0.1:端口号';//redis地址
$config['sess_match_ip'] = FALSE;//要不要验证ip是否一致
$config['sess_time_to_update'] = 30;//超30秒即刷新sid
$config['sess_regenerate_destroy'] = TRUE;//重新生成sid的时候删除旧sid

<2>session id的刷新及session的过期时间区分：

注意：这些设置跟安全关系非常大，应该注意区分及使用。

上面说的session.gc_maxlifetime是什么意思？即一个session从产生，到过期不能用的时间。其实如果使用redis就清楚了，这个值就是使用redis保存sid的时候，设定的一个存续时间，这就很清楚了，当一个sid产生的时候就会把这个时间写进去，那么到了这个时间，这个key-value就会被删掉。