记录－交流－Web开发知识分享
php设置samesite cookie，支持所有PHP版本。
PHP 7.3 的setcookie函数已经支持samesite属性，但对于7.3以下版本，可以用以下函数代替：
<?php
$options = [
'expires' => time()+18400,
'domain' => 'localhost',
'httponly' => false,
'samesite' => 'Lax',
'secure' => false,
'path' => '/'
];
function samesite_setcookie($name, $value, array $options)
{
$header = 'Set-Cookie:';
$header .= rawurlencode($name) … http {
server_tokens off;
}
2019 年，大多数的科技工作者 — 尤其是 Web 开发者 — 必须摈弃掉关于开发安全 PHP 应用的老一套。这对那些不相信能够开发出安全的 PHP 应用的人来说尤其重要.
这篇指南应该作为 PHP: The Right Way 这本电子书强调安全部分的补充，而不是作为代码风格一样的普通主题.…
我们知道，HTTP是无状态的，所以，当我们需要获得用户是否在登录的状态时，我们需要检查用户的登录状态，一般来说，用户的登录成功后，服务器会发一个登录凭证（又被叫作Token），就像你去访问某个公司，在前台被认证过合法后，这个公司的前台会给你的一个访客卡一样，之后，你在这个公司内去到哪都用这个访客卡来开门，而不再校验你是哪一个人。在计算机的世界里，这个登录凭证的相关数据会放在两种地方，一个地方在用户端，以Cookie的方式（一般不会放在浏览器的Local Storage，因为这很容易出现登录凭证被XSS攻击），另一个地方是放在服务器端，又叫Session的方式（SessonID存于Cookie）。
但是，这个世界还是比较复杂的，除了用户访问，还有用户委托的第三方的应用，还有企业和企业间的调用，这里，我想把业内常用的一些 API认证技术相对系统地总结归纳一下，这样可以让大家更为全面的了解这些技术。注意，这是一篇长文！
本篇文章会覆盖如下技术：
…团队最近频繁遭受网络攻击，引起了技术负责人的重视，笔者在团队中相对来说更懂安全，因此花了点时间编辑了一份安全开发自检清单，觉得应该也有不少读者有需要，所以将其分享出来。…
所谓认证（authentication）就是确认用户的身份，是网站登录必不可少的步骤。
密码是最常见的认证方法，但是不安全，容易泄露和冒充。
…
我最近了解到并非Laravel中的所有查询构建器功能都是“安全的”。这意味着不应将用户输入直接传递给它，因为它可能会将您的应用程序暴露给SQL注入漏洞。
过去几天很明显，社区对这些不安全的功能知之甚少。许多开发人员和我一样认为，Laravel查询构建器完全阻止了SQL注入攻击。
这篇博文旨在提高人们对什么是安全的，哪些不安全的意识。…
OAuth 2.0 是目前最流行的授权机制，用来授权第三方应用，获取用户数据。
这个标准比较抽象，使用了很多术语，初学者不容易理解。其实说起来并不复杂，下面我就通过一个简单的类比，帮助大家轻松理解，OAuth 2.0 到底是什么。…
PHP中有一个非常古老的安全漏洞，它涉及在单个主进程共享多个PHP-FPM池的环境中处理OPCache的方式。这是现在运行PHP的最常见方式，也可能会对您产生影响。
PHP有一种加速其解释器动态特性的方法，称为字节码缓存。PHP在每个页面加载中进行解释，这意味着PHP被转换为服务器理解并可以执行的字节码。由于大多数PHP页面不会每秒都更改，因此PHP会将该字节码缓存在内存中，并将其作为响应提供，而不必 每次都编译（“ 解释 ”）PHP脚本。…
为PHP-FPM和nginx设置多个进程池而安全地运行多个网站
在本文中，我们将向您展示在不同Linux用户的LEMP上运行站点的安全性和隔离性优势。这将通过为每个nginx服务器块（站点或虚拟主机）创建不同的php-fpm进程池来完成。
在常见的LEMP设置下，只有一个php-fpm进程池为同一用户下的所有站点运行所有PHP脚本。这带来两个主要问题：
近期评论