PHP5 的对象模型
PHP5有一个单重继承的,限制访问的,可以重载的对象模型. 本章稍后会详细讨论的”继承”,包含类间的父-子关系. 另外,PHP支持对属性和方法的限制性访问. 你可以声明成员为private,不允许外部类访问. 最后,PHP允许一个子类从它的父类中重载成员.
PHP5的对象模型把对象看成与任何其它数据类型不同,通过引用来传递. PHP不要求你通过引用(reference)显性传递和返回对象. 在本章的最后将会详细阐述基于引用的对象模型. 它是PHP5中最重要的新特性.
有了更直接的对象模型,就拥有了附加的优势: 效率提高, 占用内存少,并且具有更大的灵活性.
在PHP的前几个版本中[……]
第一节–面向对象编程
面向对象编程被设计来为大型软件项目提供解决方案,尤其是多人合作的项目. 当源代码增长到一万行甚至更多的时候,每一个更动都可能导致不希望的副作用. 这种情况发生于模块间结成秘密联盟的时候,就像第一次世界大战前的欧洲.
//haohappy注:喻指模块间的关联度过高,相互依赖性太强.更动一个模块导致其它模块也必须跟着更动.
想像一下,如果有一个用来处理登录的模块允许一个信用卡处理模块来分享它的数据库连接. 当然出发点是好的,节省了进行另一个数据库连接的支出.然而有时,登录处理模块改变了其中一个变量的名字,就可能割断了两者间的协议.导致信用卡模块的处理出错,进而导致处理发票的模块出[……]
一，PHP时间戳函数获取指定日期的unix时间戳 strtotime(”2009-1-22″) 示例如下：
echo strtotime(”2009-1-22″) 结果：1232553600
说明：返回2009年1月22日0点0分0秒时间戳
二，PHP时间戳函数获取英文文本日期时间 示例如下：
便于比较，使用date将当时间戳与指定时间戳转换成系统时间
(1)打印明天此时的时间戳strtotime(”+1 day”)
当前时间：echo date(”Y-m-d H:i:s”,time()) 结果：2009-01-22 09:40:25
指定时间：echo date(”Y-m-d H:i:s”,strtoti[……]
作为一本相关安全方面的书，通常加密是需要提及的话题。我之所以在本书的主体部分忽略了加密问题，是因为它的用途是狭窄的，而开发者应从大处着眼来考虑安全问题。过分依赖于加密常常会混淆问题的根源。尽管加密本身是有效的，但是进行加密并不会神奇地提高一个应用的安全性。
一个PHP开发人员应主要熟悉以下的加密方式：
l 对称加密
l 非对称加密（公钥）
l Hash函数（信息摘要）
l 信息验证码
本附录主要关注于使用mcrypt扩展的对称加密算法。你需要参考的资料如下：
实用加密技术（Applied Cryptography）, by Bruce Sc[……]
在我写作本书的时候，http://php.net/quickref.php列出了共3917个函数，其中包括一些类似函数的语法结构，在此我不准备把它们从函数中区分开来，而是把它作为函数看待。
由于函数数量很大，一一说明它们的正确及安全用法是不太可能的。在此我选出了我认为最需要注意的函数。选择的标准包括使用的频繁度、使用时的危险（安全）度及我本人的经验。
对于每一个列出的函数，我都会提供推荐的使用方法。在提出这些方法时，我会把安全作为重点考虑。请在实际使用时根据你的需求进行相应调整。
当一个函数与另一个有相同的风险时，我会给出参见另一个函数的信息，而不是多余地再次描述一遍。
B.1. eval[……]
尽管本书的焦点是在于应用的安全性，但有一些配置选项是任何关心安全的开发者必需熟悉的。PHP的配置会影响你所写代码的行为以及你使用的技巧，必要时你需要稍稍负责一下应用程序以外的东西。
PHP的配置主要由一个名为php.ini的文件所指定。该文件包含很多配置选项，每一项都会对PHP产生非常特定的影响。如果该文件不存在，或者该文件中的某选项不存在，则会使用默认值。
如果你不知道php.ini文件所在的位置，你可以使用phpinfo( )来确定PHP中对该文件路径的定义：
|
1 2 3 |
<?php phpinfo(); ?> |
图A-1 所示的第六行（配置文件(php.ini)路[……]
在共享主机环境中达到高级别的安全是不可能的。可是，通过小心的规划，你能避免一些常见的错误并防止一些最常用的攻击手段。虽然有些方法需要你的主机提供商提供协助，但也有一些其他的你自己就能做到的方法。
本章涉及伴随共享主机而产生的风险。尽管同样的安全措施可以用于防止很多攻击手段，但为了认识到问题的范围，多看一些范例是很有用的。
由于本书的焦点是应用的安全性而不是架构的安全性，我不会讨论加强服务器环境安全的技巧。如果你是一位主机提供商并需要更多关于架构安全方面的信息，我推荐下面一些资源：
Apache服务器安全, Ivan Ristic著 (O’Reilly出版社)
http://su[……]
很多Web应用被其糟糕的身份验证与授权机制所困扰。本章主要讨论相关这些机制的漏洞，传授一些帮助你不犯通病的方法。我将通过一些例子进一步说明这些方法，但请注意不要把这些示例与其上下文割裂开来看，理解其中包含的原则和方法是很重要的。只有到那个时候你才能对它们进行正确运用。
通过验证我们可以确定一个用户的身份。典型的做法是简单地使用用户名和密码进行检查。这样我们就能确定登录用户是一个授权用户。
身份验证，常被称为访问控制，是一种你能用来保护对受限资源的访问及确认一个用户是否有权访问特定资源的方法。例如，很多WEB应用会有只对授权用户开放的资源、只对系统管理员开放的资源以及对所有用户开放的资源。
[……]
本章主要讨论伴随着文件与shell命令的使用所产生的风险。PHP有大量的文件系统函数，与直接执行shell命令只有少量的区别。在本章中，我会着重强调开发者在使用这些功能时常犯的错误。
总的来说，伴随这些功能所产生的风险类似于很多本书已提及的风险——使用被污染数据具有灾难性的副作用。尽管漏洞是不同的，但是用来对付它们的方法都是你已学过的方法。
6.1. 文件系统跨越
无论你用什么方法使用文件，你都要在某个地方指定文件名。在很多情况下，文件名会作为fopen()函数的一个参数，同时其它函数会调用它返回的句柄：
|
1 2 3 |
<?php $handle = fopen('/path/to/myfile.txt', 'r'); ?> |
当你把被污染[……]
随着PHP项目的增大，软件设计与组织在代码的可维护性上起着越来越重要的作用。尽管对于什么是最好的编程方式众说纷纭（关于面向对象优点的争论常常发生），但基本上每个开发者会理解和欣赏模块化设计的价值。
本章说明了使用包含时会面临的安全问题。脚本中include或require的文件把你的应用分成了逻辑上分离的两部分。我还会着重强调和纠正一些常见的误解，特别是有关于如何编程的问题。
小提示
当使用include和require时，应该使用include_once与require_once来包含。
5.1. 源码暴露
关于包含的一个重要问题是源代码的暴露。产生这个问题主要原因是下面的常见情况：
l [……]
本章主要讨论会话和有状态的Web应用的内在风险。你会首先学习状态、cookies、与会话；然后我会讨论关于cookie盗窃、会话数据暴露、会话固定、及会话劫持的问题及防范它们的方法。
正如大家知道的，HTTP是一种无状态的协议。这说明了两个HTTP请求之间缺乏联系。由于协议中未提供任何让客户端标识自己的方法，因此服务器也就无法区分客户端。
虽然HTTP无状态的特性还是有一些好处，毕竟维护状态是比较麻烦的，但是它向需要开发有状态的Web应用的开发人员提出了前所未有的挑战。由于无法标识客户端，就不可能确认用户是否已登录，在购物车中加入商品，或者是需要注册。
一个最初由网景公司构思的超强解决方[……]
PHP的作用常常是沟通各种数据源及用户的桥梁。事实上，有些人认为PHP更像是一个平台而不是一个编程语言。基于这些原因，PHP频繁用于与数据库的交流。
PHP可以很好的胜任这个任务，其原因特别是由于它能与很多种数据库连接。下面列举了PHP支持的小部分数据库：
DB2
ODBC
SQLite
InterBase
Oracle
Sybase
MySQL
PostgreSQL
DBM
与任何的远程数据存储方式相同，数据库本身也存在着一些风险。尽管数据库安全不是本书讨论的问题，但数据库安全是需要时刻注意的，特别是关于如何对待从数据库读取作为输入的数据的问题。
正如第一章所讨论的，所有输入必需要进行过滤，同时所有的输[……]
本章主要讨论表单处理，同时还有在处理来自表单和URL数据时需要加以注意的最常见的攻击类型。你可以学到例如跨站脚本攻击（XSS）及跨站请求伪造（CSRF）等攻击方式，同时还能学到如何手工制作欺骗表单及HTTP请求。
通过本章的学习，你不仅可以看到这些攻击方法的实例，而且可以学到防范它们的方法。
小提示
跨站脚本攻击漏洞的产生主要是由于你误用了被污染的数据。虽说大多数应用的主要输入源是用户，但任何一个远程实体都可以向你的软件输入恶意数据。本章中所描述的多数方法直接适于用于处理任何一个远程实体的输入，而不仅仅是用户。关于输入的过滤详见第一章。
2.1. 表单与数据
在典型的PHP应用开发[……]
Essential PHP Security -PHP安全基础(中文版)
本书的原版为：
Essential PHP Security
By Chris Shiflett
Publisher: O’Reilly
Pub Date: October 2005
ISBN: 0-596-00656-X
Pages: 124
翻译：
PHP China ：alex (烂柯居士)
译者序：本书短小精捍，雅俗共赏，为了方便大家阅读中文，本人做了翻译，在www.phpchina.cn的原创和翻译专栏连载，第一稿翻译上有不通及谬误之处，请提出修改意见，谢了。
烂柯居士 上
如有问题，请Email: xuhuanchun@[……]
解决 PHPExcel 长数字串显示为科学计数
在excel中如果在一个默认的格中输入或复制超长数字字符串，它会显示为科学计算法，例如身份证号码，解决方法是把表格设置文本格式或在输入前加一个单引号。
使用PHPExcel来生成excel，也会遇到同样的问题，解决方法有三种：
1、设置单元格为文本
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
$objPHPExcel = new PHPExcel(); $objPHPExcel->setActiveSheetIndex(0); $objPHPExcel->getActiveSheet()->setTitle('Simple'); //设置A3单元格为文本 $objPHPExcel->getActiveSheet()->getStyle('A3')->getNumberFormat() ->setFormatCode(PHPExcel_Style_NumberFormat::FORMAT_TEXT); //也可以设置整行或整列的style /* //E 列为文本 $objPHPExcel->getActiveSheet()->getStyle('E')->getNumberFormat() ->setFormatCode(PHPExcel_Style_NumberFormat::FORMAT_TEXT); //第三行为文本 $objPHPExcel->getActiveSheet()->getStyle('3')->getNumberFormat() ->setFormatCode(PHPExcel_Style_NumberFormat::FORMAT_TEXT); |
更多的格式可以在PHPExcel/Style/NumberFormat.php中找到。注意：上述的设置对长数字字符串还是以文本方式来显示科学计数法的结果，原因可能php在处理大数字时采用的科学计数法。
2、在设置值的时候[……]