PHP编程：向通俗人加密 用PHP法式回护数据
我的这套线路可能跟许多学习PHP的爱好者不谋而合，这也算是一个循序渐进的学习过程，不过新手不要看到上面的概括就以为学习蛮简单的，默默在此不得不对您稍微泼一下冷水，任何东西其实都不简单。 在这个日渐虚拟的互联网世界中，您必需当心回护自已的数据。本文将引见编码和加密一些主要信息（好比暗码、信誉卡号、乃至全部动静）的基本常识。并经由过程利用 PHP 的内置功效，懂得加密息争密信息的意义，而且将懂得一些触及暗码和其他数据的实践示例。懂得现今实际世界与 20 年前的实际世界的分歧。在 20 世纪 80 年月，加密是一种奸细人员的行动 ―― 是您在 Tom Clancy 的侦察小说中才可以读到的情节。假如或人想坚持大批公有信息，那末他必需利用暗码、暗码短语或其他根基办法对数据停止加密。
而如今，加密遍及各个范畴。暗码也被加密保留在数据库中。电脑空间中的加密的通道多是经由过程 SSL、SSH 和其他手艺加密的 ―― 更不用说拟虚公用收集。人们平凡可以并且必定可以利用 Pretty Good Privacy (PGP) 来回护敏感的文件和电子邮件。
作为一位 PHP 开辟人员，您应当晓得，强无力的平安做法并非只将平安回护用于共同的使用法式 ―― 还可以将其用于您以后从事的项目。用户要建立从普通加密办法（例如，在登录页上的暗码字段中不显示明文）过渡到各类初级加密办法（如 DES、MD5、SHA1 和 Blowfish）的认识。
因工夫和篇幅所限，这里没法会商加密的各个方面，然而您将从这里懂得涵盖合用于您的多半情形的根基内容。咱们经由过程利用 PHP 内置功效先懂得加密息争密信息的意义，进而懂得触及暗码和其他数据的一些实践示例。在本文中，加密是在更大的平安高低文中停止会商的。最初，将引见其他 PHP 扩大和插件。
加密手艺的低级读本
作为希腊的词根资产，加密手艺是一种 “奥秘编写” 艺术。凯撒暗码 是最陈旧的一种暗码，模式也最为复杂。它采取明文动静，将字母挪动 n 个地位，从而发生暗文。例如：
明文：Veni Vidi Vici
暗文：Xgpk Xkfk Xkek
经由过程反省暗文并借助一些启示式的技能，您可以晓得，明文实践上是挪动了两个字符。凯撒暗码很轻易破解。例如：反省上述信息，可知 X 反复了屡次，且 k 也是如斯。这就酿成猜迷，肯定几何个四字母的词有那样多的元音。晓得了这些带元音的词后，您就晓得了挪动其他字的办法。它还可以匡助您判别明文是不是为拉丁文，让您对其有大致的懂得。
古代加密手艺的功效十分壮大，利用了超出一致挪动字母和符号的算法。本文不盘算具体引见这些算法，仅引见一些 PHP 装置，它包含您需求过度（或出格）坚持数据平安的一切内容。
不存在 100％ 不受进击的相对完全的加密办法。也许每隔一个月，一些黑客及其伴侣就会合合 1,000 台盘算机，在最后的几天里强力停止盘算损坏，从而使最新的加密办法溃散。不外，您可以密封您的体系和数据，不让黑客搅扰和不法闯入。他们将在其他中央寻觅无隙可乘。
懂得这些内容以后，让咱们转而懂得那些受复杂登录模式回护的示例 PHP 使用法式。
没有平安保证或加密的 PHP 模式处置
假定您是一名新的 Web 使用法式开辟人员，没有更多的时机利用平安功效。您创立了您的第一个使用法式，它可以在公用用户表中存储用户名和暗码，然而，您没有对这些暗码停止加密。这些暗码以一眼就看分明的模式存在，任何人都可使用它们会见数据库。您可以构建一个以下所示的登录页面。
清单 1. 复杂的登录页面
＜form action="verify.php" method="post"＞
＜p＞＜label for='username'＞Username＜/label＞
＜input type='text' name='username' id='username'/＞
＜/p＞
＜p＞＜label for='password'＞Password＜/label＞
＜input type='text' name='password' id='password'/＞
＜/p＞
＜p＞＜input type="submit" name="submit" value="log in"/＞
＜/p＞
＜/form＞
此 HTML 标志存在甚么成绩？为暗码字段选择的输出类型为 text，这意味着用户键入该字段的任何内容城市以明文模式显示在屏幕上。
您可以便利地将该类型更改成 password，并将该字段中的用户输出交换为一串星号。牢靠吗？相对牢靠。不外，这一步调在良多使用法式中会被疏忽。工作虽小，但在平安方面会令人们感应不安。您情愿将钱存入歇息大厅的窗口被严重损坏的银行吗？或许您会。然而您能够更希冀银行是无缺无损的。关于使用法式来讲，事理不异。
让咱们持续引见处置表单提交的 verify.php 文件。
清单 2. 复杂的 PHP 登录验证
＜?php
$user = $_POST['user'];
$pw = $_POST['password'];
$sql = "select user,password from users
where user='$user'
and password='$pw'
limit 1';
$result = mysql_query($sql);
if (mysql_num_rows($result)){
//we have a match!
}else{
//no match
}
?＞
读阅到此，您会显露写意的浅笑。守候浏览本文加密局部的局部读者能够变得不耐心了，然而加密仅为平安成绩的一局部。您还必需伶俐地处置引入的用户数据。developerWorks 教程 “锁定您的 PHP 使用法式”（请参阅参考材料）会商了 SQL 打针：将不正常的数据发送到数据库可招致无害或无依据的会见。不管您利用几何个加密，公然弱点没有一点优点。
您应遵守上面的传统平安准绳：“不信赖用户供应的数据” 和 “深层进攻”；排除传入数据并经由过程本义传入的字符串回护数据库（拜见清单 3）。深层进攻是将过剩的平安办法都妥帖保管 ―― 不但包含加密，还包含用户所供应数据的智能处置。
清单 3. 回护 PHP 模式解析免受用户数据操作的影响
＜?php
$user = strip_tags(substr($_POST['user'],0,32));
$pw = strip_tags(substr($_POST['password'],0,32));
$sql = "select user,password from users
where user='". mysql_real_escape_string($user)."'
and password='". mysql_real_escape_string($pw)."'
limit 1';
$result = mysql_query($sql);
if (mysql_num_rows($result)){
//we have a match!
}else{
//no match
}
?＞
经由过程公道利用 strip_tags()、substr() 和 mysql_real_escape_string()，可以删除任何潜伏的无害号令，将字符串削减到 32 个字符，并去失落一切特别字符，数据库能够将这些字符注释为非预期号令字符串的一局部。
在这一进程停止时，数据库中仍有一个明文暗码。您不克不及显示它。最轻易的修复办法是利用 PHP 的内置 crypt() 功效。
利用 crypt()
PHP 的内置 crypt() 功效可完成单向加密 或单向散列。它只所所以单向的，是由于在对某内容停止加密后，您永久不克不及将其反转为明文。乍一看，此设法仿佛很荒唐。利用加密次要是回护信息，随后可以利用该信息，后者凡是意味着可以对它停止解密。
不要失望。单向加密计划和 crypt() 出格受接待。可使回护信息的办法更平安。假如您的用户暗码列表落入犯科之徒之手，他们实践上未将暗码解密为明文的办法。
让咱们前往到暗码示例。正文 (notational) PHP 使用法式能够包含让体系办理员创立、编纂和删除用户的模块。例如，在将用户纪录存储到用户表之前，PHP 剧本可使用 crypt() 对暗码加密。
清单 4. 利用 crypt() 加密暗码
＜?php
$user = strip_tags(substr($_POST['user'],0,32));
$pw = strip_tags(substr($_POST['password'],0,32));
$cleanpw = crypt($pw);
$sql = "insert into users (username,password)
values('".mysql_real_escape_string($user)."',
'".mysql_real_escape_string($cleanpw)."')";
//.....etc....
?＞
crypt() 将一串明文作为它的第一个参数字，对它使用 salt 会影响加密算法的随机性，并生成输出明文的单向暗文。假如不供应 salt，则 PHP 凡是默许其体系 salt，它可所以以下值和长度之一：
算法 Salt
CRYPT_STD_DES 2 个字符（默许）
CRYPT_EXT_DES 9 个字符
CRYPT_MD5 12 个字符，以 $1$开首
CRYPT_BLOWFISH 16 个字符，以 $2$开首
很多古代 PHP 装置利用 MD5 或更高的 salt，它们利用壮大的 12 个字符的 salt，然而，不要对任何工作想固然。您最好晓得体系正在利用哪个值。您可使用以下 PHP 代码片断反省办事器的设置：
＜?php echo "System salt size: ". CRYPT_SALT_LENGTH; ?＞
前往的谜底将是 2、9、12 或 16，它告知您体系正在利用的值。要利用 MD5 或更高版本的 salt，您可以显式挪用明文和 salt 参数中的 crypt() 函数和 md5() 函数，以获得随机暗文（拜见清单 5）。md5() 函数可以散列反应的任何字符串，并将其改变为固定长度为 32 个字符的字符串。您能够更喜好其他办法，详细的利用取决于平安需乞降团体喜好。
清单 5. 利用 crypt() 和 md5() 加密暗码
＜?php
$user = strip_tags(substr($_POST['user'],0,32));
$pw = strip_tags(substr($_POST['password'],0,32));
$cleanpw = crypt(md5($pw),md5($user));
$sql = "insert into users (username,password)
values('".mysql_real_escape_string($user)."',
'".mysql_real_escape_string($cleanpw)."')";
//.....etc....
?＞
如今数据库中已具有一个已加密的暗码，然而没有对其停止解密的办法。若何使之有效？一个对照轻易的办法是：对用户供应的任何传入暗码都利用不异的加密办法，并将了局与您存储的暗码对照。
清单 6. 重访 verify.php
＜?php
$user = strip_tags(substr($_POST['user'],0,32));
$pw = strip_tags(substr($_POST['password'],0,32));
$cleanpw = crypt(md5($pw),md5($user));
$sql = "select user,password from users
where user='". mysql_real_escape_string($user)."'
and password='". mysql_real_escape_string($cleanpw)."'
limit 1';
$result = mysql_query($sql);
if (mysql_num_rows($result)){
//we have a match!
}else{
//no match
}
?＞
例如，假如存储的加密暗码是 i83Uw28jKzBrZF，则加密存储传入的暗码，并将它与存储的暗码停止对照。进击者损坏加密的唯一办法是将一个十分长的字符串列表与您的加密暗码停止对照，每次对照一个，直到找到婚配项。这也称为字典进击，因而您的暗码最好不该该是暗码 或 Star Trek 字符名，乃至您的呢称。由于在加密 Fido 后，它会酿成一堆乱语，但这其实不标明它关于此种进击是平安的。确保您的暗码具有某一长度（八个或更多字符），并包括大写字母、数字和特定的字符，如 ! 和 $，如许猜想您的数据会加倍坚苦。在短语中，f1D0! 是一个较好的暗码，它胜于 GandalftheGray 之类的长暗码，因为后者利用小写字母，而且是 “Lord of the Rings” 的字符称号。
利用 crypt() 的一种不太好的办法
还有利用 crypt() 的另外一种办法，这类办法不太好：将明文的前 n 个字符用作 salt。
清单 7. 将明文字符用于 salt
＜?php
$user = strip_tags(substr($_POST['user'],0,32));
$pw = strip_tags(substr($_POST['password'],0,32));
$cleanpw =crypt($pw, substr($user,0,2));
$sql = "select user,password from users
where user='". mysql_real_escape_string($user)."'
and password='". mysql_real_escape_string($cleanpw)."'
limit 1';
$result = mysql_query($sql);
if (mysql_num_rows($result)){
//we have a match!
}else{
//no match
}
?＞
假如您的用户名是 tmyer，则 salt 预置为 tm，它会使或人很轻易揣度 salt 的内容。这不是一个好办法。
利用 PHP 停止加密息争密
本文的大局部篇幅会商了利用 crypt() 的单向加密。然而，假如您要将动静发送给或人，并供应对该动静解密的办法，又该若何办呢？请利用 PHP 撑持的公钥加密手艺。
利用公钥加密的用户具有一个私钥和一个公钥，而且他们与其他用户同享公钥。假如您要将一封公有短信发送给您的伴侣 John Doe，您可使用 John Doe 的公钥（您已将其存储在自已的 keyring 中）加密该动静。John Doe 收到该动静后，只要他可使用他的私钥对其解密。任何给定用户的公钥和私钥在数学上是不克不及相干的。关于 PGP 和其他公钥加密办法，不存在从公钥揣度或人私钥的办法。
PGP 的附加特征是：私钥的暗码实践上不是暗码，它是一个暗码短语。它可所以整句话，包含标点符号、空格和一切字符款式。
利用基于 PGP 的公钥加密的一种办法是利用 GNU Privacy Guard (GPG)。利用 GPG 加密的任何动静都可使用 GPG、PGP 或撑持任一法式的任何数目的电子邮件客户机插件来解密。在示例中，联机表承受用户输出（包含动静）；利用 GPG 为特定的吸收方加密动静；然后发送动静。
清单 8. 利用 GPG
＜?php
//set up users
$from = "webforms@example.com";
$to = "you@example.com";
//cut the message down to size, remove HTML tags
$messagebody = strip_tags(substr($_POST['msg'],0,5000));
$message_body = escapeshellarg($messagebody);
$gpg_path = '/usr/local/bin/gpg';
$home_dir = '/htdocs/www';
$user_env = 'web';
$cmd = "echo $message_body HOME=$home_dir USER=$user_env $gpg_path" .
"--quiet --no-secmem-warning --encrypt --sign --armor " .
"--recipient $to --local-user $from";
$message_body = `$cmd`;
mail($to,'Message from Web Form', $message_body,"From:$from\r\n");
?＞
在此示例中，PHP 挪用 /usr/local/bin/gpg（此地位因办事器而异），以便利用发送方的私钥和吸收方的公钥加密动静。了局，只要吸收方可以解密该动静，而且晓得来自觉送方的动静。另外，还可以设置 HOME 和 USER 情况变量，以告诉 GPG 在何处查找存储这些密钥的 keyring。其他标记的功效以下：
--quiet 和 --no-secmem-warning 克制来自 GPG 的正告。
--encrypt 履行加密。
--sign 添加签名，以验证发送方的身份。
--armor 发生非二进制的 ASCII 输入，如许，易于经由过程电子邮件将其发送。
正常情形下，正如后面提到的，秘密密钥受暗码短语的回护。本特定实例没有利用暗码短语，由于在每次表单提交时它都需求手工输出。固然，鄙人列情形下您还可以选择其他选项：在独自文件中供应短语，或利用它自已的身份验证计划避免表单公用（例如，假如它是一个只能由公司发卖代表会见的表单）。
另请注重，除非您正在对答应用户输出电子邮件动静的表利用 SSL，不然键入的任何内容都是明文模式的。换句话说，客户机和办事器之间的任何人都可以看见它。不外，这是另外一个主题。
停止语
咱们对平安性、加密手艺，乃至公钥加密手艺引见了良多，目标是匡助您胜利开辟下一个 PHP 项目。利用加密和其他加密办法的要点不是创立 100％ 牢靠的无缝体系。封闭的盘算机才是不成进击的体系，然而也不克不及完整包管，由于或人能够会走上前走，翻开它，然后进击它。加密的要点是使获得敏感数据变得十分坚苦，乃至黑客不再测验考试进击，或测验考试进击掉败后离去。
一切平安性思索必需统筹便利和回护。利用壮大的算法密钥将一切数据都停止单向加深情味着您的数据十分平安，然而利用时很不便利。这带来的响应缺点也很严重，好像利用非加密的内容一样，为您带来的任何便利也为其别人获得数据带来了恐怖的便利。经由过程加密主要的秘密数据（如暗码、信誉卡号和奥密动静）和添加好的平安办法（如深层进攻、过滤用户供应的数据和传统的普通知识）可以到达最好均衡。
多去关于PHP的网站，尤其有很多经典的文章，多读读这些文章显然是有好处的。 我学习了一段时间后，我发现效果并不好（估计是我自身的问题）。因为一个人的精力总是有限的，同时学习这么多，会导致每个的学习时间都得不到保证。 对于初学者来说不推荐去拿钱买的。当然如果一个网站你经常去用，而且里面的资料也比较有用，最好还是买个会员比较好，毕竟那些也是别人的工作成果。 小鸟是第一次发帖（我习惯潜水的(*^__^*) 嘻嘻……），有错误之处还请大家批评指正，另外，前些日子听人说有高手能用php写驱动程序，真是学无止境，人外有人，天外有天。 本人接触php时间不长，算是phper中的小菜鸟一只吧。由于刚开始学的时候没有名师指，碰过不少疙瘩，呗很多小问题卡过很久，白白浪费不少宝贵的时间，在次分享一些子的学习的心得。 爱上php，他也会爱上你。 这些都是最基本最常用功能，我们这些菜鸟在系统学习后，可以先对这些功能深入研究。 实践是检验自己会不会的真理。 开发工具也会慢慢的更专业，每个公司的可能不一样，但是zend studio是个大伙都会用的。 如果你已经到这种程度了，那么你已经可以做我的老师了。其实php也分很多的区域， 作为一个合格的coder 编码的规范是必须，命名方面我推崇“驼峰法”，另外就是自己写的代码最好要带注释，不然时间长了，就算是自己的代码估计看起来都费事，更不用说别人拉。 首先我是坚决反对新手上来就用框架的，因为对底层的东西一点都不了解，造成知识上的真空，会对以后的发展不利。我的观点上手了解下框架就好，代码还是手写。当然啦如果是位别的编程语言的高手的话，这个就另当别论啦。 其实也不算什么什么心得，在各位大侠算是小巫见大巫了吧，望大家不要见笑，若其中有错误的地方请各位大虾斧正。 基础有没有对学习php没有太大区别，关键是兴趣。 Ps：以上纯属原创，如有雷同，纯属巧合 其实也不算什么什么心得，在各位大侠算是小巫见大巫了吧，望大家不要见笑，若其中有错误的地方请各位大虾斧正。 使用zendstdio 写代码的的时候，把tab 的缩进设置成4个空格是很有必要的 不禁又想起那些说php是草根语言的人，为什么认得差距这么大呢。 为了以后维护的方便最好是代码上都加上注释，“予人方便，自己方便”。此外开发文档什么的最好都弄齐全。我觉得这是程序员必备的素质。虽然会消耗点很多的时间。但是确实是非常有必要的。 刚开始安装php的时候，我图了个省事，把php的扩展全都打开啦（就是把php.ini 那一片 extension 前面的冒号全去掉啦），这样自然有好处，以后不用再需要什么功能再来打开。
页:
[1]
2