PHP 安全中的 $_SERVER 变量有多可靠？

评估 $_SERVER 变量的安全性

HTTP 请求标头通常包含可由用户控制的信息。因此，许多 $_SERVER 变量可能会被恶意输入污染并成为攻击源。

了解受控值

服务器控制的变量，例如“SERVER_ADDR”和“SERVER_SOFTWARE”由服务器配置设置，本质上是安全的。

部分服务器控制的变量取决于请求，并且有效值有限，使其可靠。示例包括“REMOTE_ADDR”和“REQUEST_TIME”。

任意用户控制值

相反，任意用户控制值可以包含客户端发送的任何输入，包括潜在的恶意内容。 'HTTP_USER_AGENT' 和 'PHP_SELF' 等变量就属于此类。

评估可靠性

确定 $_SERVER 变量的可靠性取决于具体的使用情况和服务器配置。例如：

• “REMOTE_ADDR”通常是可靠的，但可能在 DNS 攻击中被欺骗。
• 如果服务器拒绝具有无效主机标头的请求，则可以认为“HTTP_HOST”是安全的。
• 如果服务器限制允许的方法，'REQUEST_METHOD' 是可靠的。

$_SERVER 变量的分类

服务器控制：



• 'GATEWAY_INTERFACE'


• 'SERVER_ADDR'


• 'SERVER_SOFTWARE'


• 'DOCUMENT_ROOT'


• 'SERVER_ADMIN'


• 'SERVER_SIGNATURE'




• 部分服务器控制：
  
• 'HTTPS'


• 'REQUEST_TIME'


• 'REMOTE_ADDR'

< ;li>'REMOTE_HOST'

• 'REMOTE_PORT'


• 'SERVER_PROTOCOL'
  
• 'HTTP_HOST '


• 'SERVER_NAME'


• 'SCRIPT_FILENAME'


• 'SERVER_PORT'
;

• “SCRIPT_NAME”

完全任意的用户控制值：

• 'argv', 'argc'


• 'REQUEST_METHOD'


• 'QUERY_STRING'
• 'HTTP_ACCEPT'


• 'HTTP_ACCEPT_CHARSET'


• 'HTTP_ACCEPT_ENCODING'


• 'HTTP_ACCEPT_LANGUAGE'



• 'HTTP_REFERER'


• 'HTTP_USER_ AGENT'


• 'AUTH_TYPE'


• 'PHP_AUTH_DIGEST'


• 'PHP_AUTH_USER'


• 'PHP_AUTH_PW'


• 'PAT H_INFO'


• 'ORIG_PATH_INFO'


• 'REQUEST_URI'
• 'PHP_SELF'


• 'PATH_TRANSLATED'


• 任意其他“HTTP_”值

在信任任何 $_SERVER 之前请考虑上下文和潜在后果变量。

以上是PHP 安全中的 $_SERVER 变量有多可靠？的详细内容。更多信息请关注PHP中文网其他相关文章！