php - 除XSS和Sql注入(inject)外，我还可以保护我的网站吗？

因此，我网站的成员可以发布主题，回复，评论，对其进行编辑等。我总是将htmlspecialchars和addslashes用于html输入，以保护我的网站免受XSS和SQL注入(inject)攻击。够了还是我想念的更多东西？
谢谢。

最佳答案

Web应用程序可能会出错。除了XSS和SQLi，还有:

CSRF-跨站点请求伪造

LFI/RFI-由include()，require() ...

引起的本地文件包含/远程文件包含mail()中的

CRLF注入(inject)

全局变量命名空间通常由register_globals，extract()，import_request_variables()

引起

目录遍历:fopen()，file_get_contents()，file_put_conents()

使用eval()或preg_replace()和/e进行远程代码执行

带有passthru()，exec()，system()和``

的远程代码执行

关于Broken Authentication and Session Management有一整套漏洞，这是每个Web应用程序程序员必须阅读的OWASP Top 10的一部分。

A Study In Scarlet是一个很好的黑皮书，它涵盖了我列出的许多漏洞。

但是，Wordpress中也存在类似这样的奇怪漏洞。关于漏洞的绝对权威是CWE system，它对漏洞的 HUNDREDS 进行分类，其中许多漏洞都可能影响Web应用程序。