用Suhosin加强PHP脚本语言安全性

为什么80%的码农都做不了架构师？>>>   

PHP是一种非常流行的网站脚本语言，但是它本身所固有的安全性是非常薄弱。本文讲述了PHP增强计划(Hardened-PHP project)和新的Suhosi计划，Suhosin提供了增强的PHP的安全配置。

　　PHP是带有争论地但又是最流行的一种网站脚本语言。它之所以流行，是因为它低廉的价格，然而，这低廉的价格导致用PHP写的网站应用程序越来越多的同时也越来越多的展现出PHP本身在安全上的脆弱，这种安全特性显示出PHP是极不可靠，不过同时对这个脚本语言本身而言它又是非常灵活的，使用它就能很容易的实现代码，不过这些代码都是臃肿的且不安全的，虽然是这样它还是一直都拥有很多的使用者。你可以根据实际情况来假设，一次又一次，各种应用软件都体现了这种脆弱性：容易受到SQL注入、跨站脚本、任意执行指令等等的攻击。

　　因为象safe_mode和open_basedir这样内置的PHP安全措施将被忽略，PHP增强计划创建的PHP更具有安全性，同时也对PHP进行校验检查。最初，这些是由增强的PHP补丁完成的，这些补丁需要修补并重新编译PHP自身。最近，PHP增强计划发布了一个名为Suhosin的新工程。

　　Sohosin包括有两部分：第一部分是PHP的补丁，这个补丁强化了Zend引擎自身，以免可能产生缓冲溢出，也可以防止相关的弱点。第二部分是Suhosin的扩展，这是一个PHP的独立使用模块。这两部分可以一起工作，或者是扩展部分单独工作。

　　开发人员不希望为了达到安全性而总去维护他们自己的PHP安装设置和他们当然更喜欢直接使用销售商提供的Linux分布系统上PHP，使用扩展模块能提供更多PHP本身所不能具有的安全特点。

阅读全文>>

转载于:https://my.oschina.net/lgc/blog/5301