首页 ❯

我应该在 PHP 中允许“allow_url_fopen”吗？

php configuration
2022-08-30 13:25:57

我们有几个开发人员要求在我们的服务器上启用。如今的常态是什么，如果启用了，真的有什么好的理由允许吗？allow_url_fopenlibcurl

环境是：Windows 2003，PHP 5.2.6，FastCGI


答案 1

我认为答案可以归结为您对开发人员负责任地使用该功能的信任程度？来自外部URL的数据应该像任何其他不受信任的输入一样对待，只要理解了这一点，有什么大不了的？

我的看法是，如果你像对待孩子一样对待你的开发人员，从不让他们处理尖锐的事情，那么你的开发人员永远不会学会编写安全代码的责任。


答案 2

您肯定希望设置为“关”，这也减轻了许多风险。allow_url_includeallow_url_fopen

但是因为不是所有版本的PHP都有，所以对许多人来说，最好的做法是关闭fopen。与所有功能一样，现实情况是，如果您的应用程序不需要它，请禁用它。如果你确实需要它，curl模块可能可以做得更好，并且重构你的应用程序以使用curl来禁用可能会阻止最不坚定的破解者。allow_url_includeallow_url_fopen


推荐
更多 »
标签
更多 »
php pass-by-reference optional-parameters default-value javascript arrays dom function string object serialization tostring visibility syntax jslint use-strict operators equality equality-operator identity-operator datetime timestamp date-arithmetic redirect angularjs loops foreach iteration scope variables
推荐
更多 »