PHP 5.4中有safe_mode的替代方法吗？

Question

PHP 5.4最终删除了safe_mode和magic quotes。

它们有替代品吗？为了提高安全级别？

Answer 1

我认为删除这些功能的关键在于PHP开发团队承认在应用程序堆栈中实现安全功能/机制并不是保护Web应用程序的灵丹妙药。

不应该是直接代码/配置替代PHP中的这些功能。代替：

• 应用程序开发人员应更明确地了解诸如从请求和环境中读取值以及验证和转义值，而不是让register_globals和magic_quotes这样的功能不加区别地这样做。
• 系统工程师和系统开发人员应考虑应用程序所需的所有文件系统资源的权限，而不是safe_mode限制内置函数的可访问性和功效。

我确信有人会试图弄清楚如何重新创建这些功能，并且会有很多后期采用者选择留在PHP的早期版本而不是直接解决安全问题。但如果你真的担心安全问题，不要寻找捷径。