YII Framework框架教程之安全方案详解

本文讲述了YII Framework框架的安全方案。分享给大家供大家参考，具体如下：

web应用的安全问题是很重要的，在“黑客”盛行的年代，你的网站可能明天都遭受着攻击，为了从某种程度上防止被攻击，YII提供了防止攻击的几种解决方案。当然这里讲的安全是片面的，但是值得一看。

官方提供的解决方案有：如下

1. 跨站脚本攻击的防范

跨站脚本攻击(简称 XSS)，即web应用从用户收集用户数据。 攻击者常常向易受攻击的web应用注入JavaScript，VBScript，ActiveX，HTML或 Flash来迷惑访问者以收集访问者的信息。 举个例子，一个未经良好设计的论坛系统可能不经检查就显示用户所输入的内容。 攻击者可以在帖子内容中注入一段恶意的JavaScript代码。 这样，当其他访客在阅读这个帖子的时候，这些JavaScript代码就可以在访客的电脑上运行了。

一个防范XSS攻击的最重要的措施之一就是：在显示用户输入的内容之前进行内容检查。 比如，你可以对内容中的HTML进行转义处理。但是在某些情况下这种方法就不可取了，因为这种方法禁用了所有的HTML标签。

Yii集成了HTMLPurifier并且为开发者提供了一个很有用的组件CHtmlPurifier， 这个组件封装了HTMLPurifier类。它可以将通过有效的审查、安全和白名单功能来把所审核的内容中的所有的恶意代码清除掉，并且确保过滤之后的内容过滤符合标准。

CHtmlPurifier组件可以作为一个widget或者filter来使用。 当作为一个widget来使用的时候，CHtmlPurifier可以对在视图中显示的内容进行安全过滤。 以下是代码示例：

<?php $this->beginWidget('CHtmlPurifier'); ?>//...这里显示用户输入的内容...<?php $this->endWidget(); ?>

2. 跨站请求伪造攻击的防范

跨站请求伪造(简称CSRF)攻击，即攻击者在用户浏览器在访问恶意网站的时候，让用户的浏览器向一个受信任的网站发起攻击者指定的请求。 举个例子，一个恶意网站有一个图片，这个图片的src地址指向一个银行网站：http://bank.example/withdraw?transfer=10000&to=someone。 如果用户在登陆银行的网站之后访问了这个恶意网页，那么用户的浏览器会向银行网站发送一个指令，这个指令的内容可能是“向攻击者的帐号转账10000元”。 跨站攻击方式利用用户信任的某个特定网站，而CSRF攻击正相反，它利用用户在某个网站中的特定用户身份。

要防范CSRF攻击，必须谨记一条：GET请求只允许检索数据而不能修改服务器上的任何数据。 而POST请求应当含有一些可以被服务器识别的随机数值，用来保证表单数据的来源和运行结果发送的去向是相同的。

Yii实现了一个CSRF防范机制，用来帮助防范基于POST的攻击。 这个机制的核心就是在cookie中设定一个随机数据，然后把它同表单提交的POST数据中的相应值进行比较。