编写安全的移动应用程序——基于PHP和JavaScript技术

目 录 第1部分 第1章 概述 3 1.1 理解安全的Web开发 3 1.1.1 适用读者 3 1.1.2 本书未涉及的内容 4 1.1.3 背景知识 4 1.1.4 安全工具 5 1.1.5 在项目间创建一致性的可复用代码 5 1.2 基于HTML5、AJAX和jQuery Mobile的移动应用程序 5 1.3 移动应用程序—社交混搭 5 1.3.1 客户端技术 6 1.3.2 客户端应用程序布局 6 1.3.3 服务器应用程序 6 1.4 安全措施的演变 6 1.4.1 SQL注入和CSRF 7 1.4.2 输出上下文攻击 7 1.4.3 HTML5新技术 8 1.4.4 实践与漏洞 8 1.4.5 安全扩展插件 8 1.4.6 信息缺失 8 1.4.7 一致性缺失 9 1.5 Web应用程序安全的新思路 9 第2章 Web应用程序攻击界面 15 2.1 攻击途径 15 2.2 常见威胁 16 2.2.1 SQL注入 16 2.2.2 跨站点脚本 17 2.2.3 跨站点请求伪造 18 2.2.4 会话劫持 18 2.3 保护输入和输出流 19 2.3.1 GET请求 19 2.3.2 POST请求 20 2.3.3 Cookie数据 21 2.3.4 会话固定 21 2.3.5 跨站点请求伪造 21 2.4 输入过滤和输出转义的理论知识 25 2.4.1 输入验证 26 2.4.2 输入过滤 26 2.4.3 输出转义 27 2.4.4 数据的显示位置 28 2.5 OWASP XSS Prevention Rules 28 第3章 PHP安全反模式 37 3.1 反模式 37 3.2 不使用内容安全策略反模式进行设计 38 3.3 单一尺寸适合所有的反模式 38 3.4 错误的反模式 38 3.4.1 经验式反模式 39 3.4.2 关键数据类型的理解和分析 40 3.4.3 单一数据类型反模式 40 3.5 全部输入的HTTP数据均为字符串 44 3.5.1 类型验证 46 3.5.2 输入内容与输出内容相同 48 3.5.3 假定的“干净”数据 49 3.5.4 mysql_real_escape_string()的错误使用方式 49 3.5.5 过滤、转义和编码 50 3.5.6 单一输出上下文 51 3.5.7 缺乏规划 51 3.5.8 一致性缺失 52 3.5.9 缺少应有的测试 52 3.5.10 参数遗漏 52 3.6 设计实践 55 3.6.1 HTML和PHP代码的分离 55 3.6.2 过多的数据库函数调用 55 3.6.3 错误的过滤机制 56 3.6.4 过多的引号 57 3.6.5 原始请求变量作为应用程序变量 57 3.6.6 直接URL输入 58 3.6.7 错误管理操作 59 3.6.8 加密操作 59 3.6.9 Cookie过期 60 3.6.10 会话管理 61 3.7 消除反模式：模式、测试、自动化 61 第4章 PHP基本安全 63 4.1 一致的UTF-8字符集 63 4.1.1 数据库中的UTF-8 64 4.1.2 PHP应用程序中的UTF-8 64 4.1.3 客户浏览器中的UTF-8 65 4.2 清理安全数据 65 4.2.1 输入验证—尺寸和类型 65 4.2.2 转义输出—考查上下文 65 4.2.3 数据库访问模式 66 4.2.4 应用程序秘密位置模式 66 4.2.5 错误处理模式 66 4.2.6 错误的日志处理模式 67 4.2.7 身份验证 67 4.2.8 授权模式 67 4.2.9 可接受的白名单输入 67 4.3 *佳实践方案小结 68 4.3.1 架构应用程序字符集 68 4.3.2 架构HTTP请求模式 68 4.3.3 架构HTTP Cookie应用 69 4.3.4 架构输入验证 69 4.3.5 架构输出转义 69 4.3.6 架构会话管理 70 4.3.7 保护机密文件/保护包含的文件 70 4.3.8 保护用户密码 70 4.3.9 保护用户会话数据 70 4.3.10 防护CSRF攻击 71 4.3.11 防护SQL注入攻击 71 4.3.12 防护XSS攻击 71 4.3.13 防护文件系统攻击 71 4.3.14 相应的错误管理机制 71 4.4 PHP的OWASP推荐方案 72 4.4.1 检查表 72 4.4.2 附加的PHP安全检查表 73 4.4.3 禁用危险的PHP函数 74 第5章 PHP安全工具概览 75 5.1 对象语言 75 5.1.1 抽象类、接口、外观、模板、策略、工厂和访问者 75 5.1.2 DRY 78 5.2 本地函数支持 79 5.2.1 编码函数 79 5.2.2 DRY强制函数 81 5.2.3 类型强制函数 82 5.2.4 过滤器函数 83 5.2.5 移动函数 86 5.2.6 加密和哈希函数 87 5.2.7 现代加密 87 5.2.8 现代哈希方法 89 5.2.9 现代salt机制和随机机制 89 5.2.10 HTML模板支持 89 5.2.11 内联定界符函数 90 5.3 *佳实践方案 92 5.3.1 尽可能使用整数值 92 5.3.2 使用类型强制 93 5.3.3 强制字符串大小和数字范围 93 5.3.4 在过滤前剪裁字符串 94 5.3.5 保持较小的字符串 94 5.3.6 要避免的问题 94 5.4 PDO预处理语句 96 5.5 弃用的安全函数 97 第6章 基于UTF-8的PHP和MySQL 99 6.1 UTF-8 99 6.1.1 UTF-8的优缺点 99 6.1.2 UTF-8的安全性 100 6.2 完整的PHP UTF-8设置 100 6.2.1 UTF-8 MySQL数据库和表创建 100 6.2.2 UTF-8 PDO客户端连接 102 6.2.3 手动UTF-8 PDO/MySQL连接 103 6.2.4 PHP UTF-8初始化和安装 103 6.3 UTF-8浏览器设置 104 6.3.1 头设置 104 6.3.2 元标签设置 104 6.3.3 表单设置 105 6.4 PHP UTF-8多字节函数 105 6.4.1 UTF-8输入验证函数 105 6.4.2 UTF-8字符串函数 106 6.4.3 UTF-8输出函数 107 6.4.4 UTF-8邮件 108 6.5 PHPUnit测试中的UTF-8配置 109 6.5.1 测试PHP内部编码 109 6.5.2 测试PHP输出编码 109 6.5.3 断言UTF-8配置的PHPUnit Test类 110 第7章 项目布局模板 115 7.1 应用程序中的相似性 115 7.1.1 项目布局应采用一致性方式进行处理 115 7.1.2 选择查询封装器 118 7.1.3 HTML静态资源的分离 119 7.2 完整的注释文件 120 第8章 关注点分离 121 8.1 什么是关注点分离 121 8.2 保持HTML为HTML 122 8.3 令PHP远离HTML 122 8.4 令JavaScript远离HTML 124 8.5 内容安全性策略 126 8.6 HTML中的ID和类 127 8.7 小结 128 第9章 PHP和PDO 129 9.1 PDO UTF-8连接 130 9.2 MySQL UTF-8和表创建 131 9.3 PDO预处理语句 132 9.3.1 PDO命名参数示例 133 9.3.2 PDO未命名参数示例 133 9.3.3 PDO类对象示例 135 9.4 选择数据并置入HTML和URL上下文 135 9.5 引用值和数据库类型转换 138 9.5.1 PDO手工引用示例 139 9.5.2 PDO和WHERE IN语句 139 9.6 白名单机制和PDO列名引用 140 9.7 小结 141 第10章 模板策略模式 143 10.1 模板模式强制执行流程 143 10.1.1 账户注册模板 143 10.1.2 账户注册模板—激活 145 10.2 输出转义的策略模式 147 10.2.1 转义策略类 147 10.2.2 改进的转义策略类 150 10.3 Cleaner类 153 10.3.1 测试Cleaner类 158 10.3.2 Cleaner::getKey()验证应用示例 159 第11章 现代PHP加密技术 161 11.1 使用MCrypt进行双向加密 161 11.2 利用Blowfish加密哈希密码 165 第12章 异常和错误处理 167 12.1 配置PHP错误环境 168 12.1.1 安全的php.ini和错误日志文件 168 12.1.2 错误选项简介 169 12.1.3 生产环境下的php.ini错误配置 170 12.1.4 开发环境下的php.ini错误配置 170 12.1.5 PHP错误级别常量 171 12.2 异常处理机制 172 12.3 捕获所有错误和异常 177 12.3.1 将错误转换为异常 177 12.3.2 错误处理函数的规范 177 12.3.3 处理程序的返回值 178 12.4 ErrorManager类 178 12.5 利用register_shutdown_function()处理致命错误 179 第2部分 第13章 安全的会话管理 185 13.1 SSL登录页面 185 13.1.1 安全会话管理简介 186 13.1.2 安全会话管理检查表 186 13.1.3 检查表的详细内容 187 13.1.4 设置配置内容 192 13.1.5 监控会话篡改 194 13.1.6 检测用户代理的更改—篡改防护的*佳实践方案 195 13.2 通过SSL强制页面请求 196 13.2.1 SSL重定向 196 13.2.2 协议相关链接 196 第14章 安全的会话存储 199 14.1 PHP默认会话存储 199 14.1.1 会话存储的生命周期 200 14.1.2 会话锁 201 14.1.3 AJAX和会话锁 201 14.2 会话管理配置 201 14.2.1 在session_start()调用前配置安全项 202 14.2.2 正确地销毁会话 205 14.3 加密会话存储 206 14.3.1 通过MySQL加密会话存储 206 14.3.2 在MySQL中创建自定义会话处理程序 206 14.3.3 SecureSessionPDO类 208 14.3.4 评论和决策时间 216 14.3.5 类成员函数的细节内容 217 14.3.6 通过文件系统加密会话存储 228 14.3.7 SecureSessionFile类 229 14.3.8 SecureSessionFile类的细节内容 234 第15章 安全的表单和账户注册 243 15.1 安全的用户注册和登录处理 243 15.2 SSL上的安全表单登录页面 245 15.3 安全的表单nonce—防止CSRF 245 15.4 NonceTracker类 246 15.4.1 NonceTracker类的详细信息 246 15.4.2 NonceTracker类的具体解释 248 15.5 表单输入验证 250 15.5.1 注册表单 252 15.5.2 注册表单的细节内容 256 15.5.3 用户密码的双重加密 258 15.6 账户管理类 261 15.6.1 AccountManager类细节内容和授权检测 266 15.6.2 电子邮件验证和激活系统 267 15.6.3 基于Blowfish轮数的加密强度 273 15.6.4 安全的密码请求链接 275 15.6.5 权限提升后的重新授权 276 15.7 SessionManager类 277 15.7.1 SessionManagement类的详细内容 280 15.7.2 基于essionManager的安全注销 282 15.8 权限提升保护系统 283 15.9 安全的登录 285 15.9.1 安全的登录表单 285 15.9.2 安全的登录表单细节 287 15.10 通过身份验证保护页面 290 15.11 安全的注销页面 290 15.12 安全的RememberMe特性 292 第16章 安全的客户端服务器表单验证 297 16.1 PHP UTF-8输入验证 297 16.1.1 服务器UTF-8验证 297 16.1.2 通过RegEx验证UTF-8名称和电子邮件 298 16.1.3 电子邮件地址的清除工作 300 16.2 PREG 301 16.2.1 服务器端的正则表达式 301 16.2.2 基于正则表达式的JavaScript验证 307 16.2.3 基于正则表达式的jQuery验证 308 16.3 jQuery密码强度计 311 16.4 JavaScript和jQuery转义和过滤 313 16.4.1 利用innerText替换innerHTML 315 16.4.2 嵌入式HTML超链接—innerHTML中的问题 315 16.4.3 不安全的JavaScript函数 318 16.5 防止双重表单提交 318 16.5.1 表单处理的Post-Redirect-Get模式 319 16.5.2 PRG模式 320 16.5.3 PRG指令 321 16.5.4 跟踪表单标记以防止重复提交 323 16.6 控制表单页面缓存和页面过期 325 16.6.1 主缓存-控制设置 326 16.6.2 微软IE扩展 327 16.6.3 AJAX GET请求的时间戳机制 327 16.6.4 构建安全的GET请求URL 327 第17章 安全的文件上传机制 329 17.1 基本原则 329 17.2 基于数据库的安全的文件上传机制 331 第18章 安全的JSON请求 339 18.1 构建安全的JSON响应 339 18.1.1 正确和错误的JSON 339 18.1.2 正确的JSON结构依赖于数组结构 340 18.1.3 利用PDO记录构造安全的数组 342 18.2 在PHP中发送和接收JSON 343 18.2.1 从PHP发送JSON 343 18.2.2 在PHP中接收JSON 347 18.3 利用JavaScript/jQuery安全地解析JSON 347 18.3.1 jQuery JSON调用 348 18.3.2 POST和解析JSON响应示例 349 _x00C_第3部分 第19章 Google Maps、YouTube和jQuery Mobile 353 19.1 代码构建 353 19.2 在Google Map InfoWindows中设置视频 354 19.3 生成InfoWindow Marker 354 19.3.1 HTML和jQuery Mobile布局 355 19.3.2 关注点分离 357 19.3.3 HTML片段描述 358 19.3.4 YouTube元素描述 359 19.3.5 JavaScript文件：gmap.js 360 19.3.6 基于可播放视频的InfoWindow Marker 366 19.4 Map Marker数据库表 370 19.5 数据库类GMapData 371 19.5.1 处理标记 373 19.5.2 生成标记 373 19.5.3 插入和更新标记 376 19.6 准备安全的JSON数据 380 第20章 Twitter身份验证和SSL cURL 385 20.1 基于PHP的Twitter 385 20.2 TweetFetcher类 386 20.3 通过TweetFetcher读取tweet 391 20.3.1 获取Twitter oAuth令牌 391 20.3.2 针对cURL设置SSL身份验证 392 20.3.3 从时间轴上检索*新的tweet 393 20.3.4 创建和过滤纯文本中的超链接 393 20.4 过滤不良的tweet 396 20.5 使用TweetFetcher 397 第21章 安全的AJAX购物车 401 21.1 移动商店 402 21.1.1 向购物车中添加商品 405 21.1.2 从购物车中移除商品 413 21.2 利用PayPal购物 414 21.2.1 开始PayPal事务 415 21.2.2 安全地向PayPal付款 419 21.2.3 完成PayPal购买行为 421 21.3 小结 426 第22章 常见的Facebook漏洞点 427 22.1 通过PDO保存Facebook实时更新 427 22.2 反射JSON坐标 428 22.3 反射消息 429 22.4 反射URL 429 22.5 JavaScript和jQuery过滤器 429 22.6 JSONP预防措施 431 参考文献 433 附录 435 在线资源 435 理解编码器背后的正则表达式 435 根据*新的安全警告检查HTML头 436 支持网站 436 推荐读物 437