24H免费课程咨询  TEL:13401595960   QQ:1870218756  微信:13401595960(李老师)

东方博宜

网站首页 > 软件开发资讯 > PHP开发

【常州PHP开发培训班】PHP开发编码规范特么要注意

2018-05-13 21:30:05 东方博宜 阅读

1 编写目的

为了更好的提高技术部的工作效率,保证开发的有效性和合理性,并可最大程度的提高程序代码的可读性和可重复利用性,指定此规范。开发团队根据自己的实际情况,可以对本规范进行补充或裁减。


2 整体要求

技术部php开发规范将参照PEAR的规范,基本采用PEAR指定的规范,在其基础上增加、修改或删除部分适合具体开发环境的规范。本规范只针对PHP开发过程中编码的规范,对于PHP开发项目中文件、目录、数据库等方面的规范,将不重点涉及。

本规范包含了PHP开发时程序编码中命名规范、代码缩进规则、控制结构、函数调用、函数定义、注释、包含代码、PHP标记、文件头的注释块、CVS标记、URL样例、常量命名等方面的规则。


3 安全规范


3.1 包含文件


3.1.1 命名规则

提取出来具有通用函数的包含文件,文件后缀以.inc来命名,表明这是一个包含文件。

如果有多个.inc文件需要包含多页面,请把所有.inc文件封装在一个文件里面,具体到页面只需要包换一个.inc文件就可以了

如:xxx_session.inc

xxx_comm..inc

xxx_setting.inc

mysql_db.inc


把以上文件以一下方式,封装在xxx.basic.inc文件里面

require_once(”xxx_session.inc”);

require_once(”xxx_comm.inc”);

require_once(”xxx_setting.inc”);

require_once(”mysql_db.inc”);


注:是否需要封装到一个文件,视情况而定,如果每个inc的功能是分散到不同的页面使用的话,就不建议封装。


3.1.2 存放规则

一般包含文件不需要直接暴露给用户,所以应该放在 Web Server访问不到的目录,避免因为配置问题而泄露设置信息。


3.2 安全规则

请参考产品安全检查表。


输入和输出

检查是否做了HTML代码的过滤

可能出现的问题:如果有人输入恶意的HTML代码,会导致窃取cookie, 产生恶意登录表单,和破坏网站

检查变量做数据库操作之前是否做了escape

可能出现的问题:如果一个要写入查询语句的字符串变量包含了某些特殊的字符,比如引号(’ ,”)或者分号(;) 可能造成执行了预期之外的操作。

建议采用的方法:使用mysql_escape_string() 或实现类似功能的函数。

检查输入数值的合法性

可能出现的问题:异常的数值会造成问题。如果对输入的数值不做检查会造成不合法的或者错误的数据存入UDB、存入其它的数据库或者导致意料之外的程序操作发生。

举例:

如果程序以用户输入的参数值做为文件名,进行文件操作,恶意输入系统文件名会造成系统损毁。

核实对cookie的使用以及对用户数据的处理

可能出现的问题:不正确的cookie使用可能造成用户数据泄漏

访问控制

对内部使用的产品或者供合作方使用的产品,要考虑增加访问控制

logs

确保用户的保密信息没有记在log中(例如:用户的密码)

确保对关键的用户操作保存了完整的用户访问记录

https

对敏感数据的传输要采用https


3.3 一些针对PHP的规则

设置 register_globals = off (Y!PHP 已经禁止了register_globals,如果你使用Y!PHP可以不考虑这项设置)

设置 error_reporting = E_ALL (Y!PHP 的缺省设置),并且要修正所有的error和warning

将实际的操作放在被引用的文件中。把引用文件放到不可以被直接浏览的目录下


3.4 其它处理规则


3.4.1 对输入参数值进行转义处理

页面接到参数需要SQL操作,这时候需要做转义,尤其需要注意”;”。

如:$a = ” Let’s go ” ;

$sql = “Insert into tmp(col) values(’$a’)” ;

这种情况出现错误的不确定性。


3.4.2 操作大HTML文本

很多时候需要存放一大段HTML文本供页面使用,象用户定制页头页脚等。

需要剔除脚本标记,避免执行恶意php代码。

转换”<"">“号,保证代码完整。


4 编码规范


4.1 命名规范

制定统一的命名规范对于项目开发来说非常重要,不但可以养成程序员一个良好的开发习惯,还能增加程序的可读性、可移植性和可重用性,还能很好的提高项目开发的效率。


4.1.1 变量命名

变量命名分为普通变量、静态变量、局部变量、全局变量、Session变量等方面的命名规则。


4.1.1.1 普通变量

普通变量命名遵循以下规则:

a. 所有字母都使用小写;

b. 对于一个变量使用多个单词的,使用’_'作为每个词的间隔。

例如:$base_dir、$red_rose_price等


4.1.1.2 静态变量

静态变量命名遵循以下规则:

a. 静态变量使用小写的s_开头;

b. 静态变量所有字母都使用小写;

c. 多个单词组成的变量名使用’_'作为每个词的间隔。

例子:$s_base_dir、$s_red_rose_prise等。

常州东方博宜是一家专注IT,互联网,电脑方面的顶尖培训机构,欢迎社会及院校有志互联网营销,搜索引擎营销的人士,来东方博宜报名学习,互相交流。

常州东方博宜地址:常州天宁区延陵西路2号工人文化宫5号楼

 2.新北区太湖东路9-4号常州创意园E12


Powered by 东方博宜教育咨询江苏有限公司  ©2008-2018 www.czos.cn