php安全课程和其他安全建议

Question

我已经用PHP和MySQL创建了一个Web应用程序，我想将它放在网上，但我很害怕这样做，因为我不相信它是安全的。它不像我存储信用卡信息（这是一个跟踪收入和费用的应用程序），但是，我仍然希望我的用户＆＃39;保密信息是安全的。

我正在努力找到关于这个主题的好课程。我在Treehouse学习并喜欢它，但是，他们没有关于这个主题的课程。我在Lynda完成了Foundations of Programming: Web Security，虽然课程中有很多有用的信息，但我仍然不能确保我的应用程序安全。它充满了信息，而不是从头到尾逐步完成有关如何使应用程序安全的过程。

例如，他们推荐了Blowfish。但他们没有告诉我如何实际使用它的过程。我没有看到正在使用它。

所以我不想要的：一堆链接到不同网站，其中包含有关安全性的信息，例如stackoverflow回答here。

我想要的是：一个以非安全网络应用程序开头的视频课程，向我展示了使其安全的过程，以便在我完成课程后，我知道我可以制作我的网络应用程序安全

在这个阶段，我对安全登录系统特别感兴趣，从谷歌搜索，我看到人们说使用自己的代码并不是一个好主意。所以我一直在研究PHP库和框架，并开始学习Laravel，但这有点过分吗？我真的需要学习一个完整的框架才能使我的应用程序安全吗？

那么Web开发人员如何获得有信心知道他们的应用程序足够安全以便放到网上呢？

Answer 1

要检查的基本事项：

• 使用参数绑定来防止SQL注入
• 转义输出以防止XSS
• 登录时，重新生成会话ID，以避免会话固定
• 使用最佳练习密码哈希
• 注意上传文件类型（确保用户无法上传可执行的二进制文件或脚本，拒绝某些文件类型或将上传的文件保留在docroot之外）
• 不要将无用户输入注入已执行的命令字符串

如果你能负担得起：

• 支付信誉良好的公司为您进行安全审核。