php验证系统,力控web发布常见问题？

关于“php_referer验证”的问题，小编就整理了【4】个相关介绍“php_referer验证”的解答：

1、跨站脚本攻击（Cross Site Scripting）

解决方案

xss之所以会发生，是因为用户输入的数据变成了代码，因此需要对用户输入的数据进行html转义处理，将其中的“尖括号”，“单引号”，“双引号”之类的特殊字符进行转义编码。

2、SQL注入

报错时，尽量使用错误页面覆盖堆栈信息

3、跨站请求伪造（Cross-Site Request Forgery）

解决方案

（1）将cookie设置为HttpOnly

server.xml如下配置

1

<Context docBase="项目" path="/netcredit" reloadable="false" useHttpOnly="true"/>

web.xml如下配置

（2）增加token

表单中增加一个隐藏域，提交时将隐藏域提交，服务端验证token。

（3）通过referer识别

根据Http协议，在HTTP头中有一个字段交Referer，它记录了HTTP请求的来源地址。如果攻击者要实施csrf攻击时，必须从其他站点伪造请求，当用户通过其他网站发送请求时，请求的Referer的值是其他网站的网址。因此可以对每个请求验证其Referer值即可。

可以使用对称加密或者非对称加密的方式

首先和前端约定好你们之间的加密方式，然后请求的时候代码签名，之后后端也进行加密，对比两者的签名是否一致

将生成的验证码保存到session，同时输出到表单边上，用户将输出的验证码输入表单，这是再将用户输入的验证码与session中保存的验证进行比较，相等则验证通过反之验证失败！！！

　　php登陆页面+验证码的实现，参考如下：　　1、首先新建一个php站点；　　　　3、新建login.php文件；　　用户名文本框昵称为name；　　密码文本框为psw；　　验证码为yzm；　　表单的提交方式为post，提交到check.php。

客户端必须在某个路径下保存用户的登录数据，每次打开app会自动寻找保存的登录数据，然后那到数据加密一下形成token，请求php后台，和数据库的保存的token对比一下（联网环境下），一样则登录成功，但是用户很可能会清理缓存数据，把在客户端保存的登录数据清除，所以没有太绝对的自动登录。

到此，以上就是小编对于“php_referer验证”的问题就介绍到这了，希望介绍关于“php_referer验证”的【4】点解答对大家有用。