[請益] 請問開發網站為了資安可以不要用框架嗎?

[afgn (蘇大寶)]

如題,

   我會PHP, 但又不想學框架(Zend、Symphony、CodeIgniter、Yii),
可以只用 PEAR 嗎? 或是什麼都不用? 直接用PHP的一些函數來避免
SQJ Injection、XSS ?

   有沒有相關文件可以參考? 謝謝 ^_^

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 218.161.53.129
※ 文章網址: http://www.ptt.cc/bbs/PHP/M.1405666435.A.3F9.html
→ MOONRAKER:PEAR不是套件管理嗎 你做網站可以把PEAR做進去？
→ MOONRAKER:有創意！
→ afgn:我是說只用PEAR的一些套件, 請勿無聊抓語病
→ CaptainH:中文先練好再說, 看標題還以為現在的框架都有資安問題
噓 MOONRAKER:誰跟你無聊了 講得不清不楚架子倒是很大啊
噓 Fantasywind:國文老師：
噓 thitbbeb:被標題騙進來以為framework都有資安問題
→ afgn:看來這邊的程度都不太好, 只在乎作文程度, 跟教育部有得拼...
噓 CaptainH:Zzz 慢走不送
→ coldollsheep:簡單回答你 可以 大型網站其實會避免用框架
→ coldollsheep:google很多資料 大多是以函式的方式實作
→ alpe:干Framework啥事, 資不資安不是fw, 是工程師的能力問題
噓 tanson:表達能力也是工程師必備能力，表達的不清不楚，甚至跟原意
→ tanson:差很多，請問是要怎麼跟人溝通？
→ danny8376:自己老闆自己工程師就可以不管溝通啦...
→ danny8376:不... 這樣反倒會不清楚消費者要啥XD
→ alog:資安涉略地方很廣，不會因為你用 Framework 就沒問題
→ alog:所以你想自己設計框架或完全不用框架的設計模式來製作程序
→ alog:也是可以 但相對的，你的實戰經驗就必須要很豐富
→ alog:一方面你多少都要懂得打站 一方面也要懂得知道要寫單元測試或
→ alog:安排測試腳本try你的網站運作，確保你設計的機制是有做動的
→ alog:但怎樣判斷程序回來的結果程是是正確的? 我列以下幾點供參考
→ alog:1. 多 follow 國內外的資訊安全消息
→ alog:2. 多多研究 exploit 的 demo source code 了解攻擊手法
→ alog:因為那種東西就像是變魔術一樣，你不知道手法，即使你用框架
→ alog:系統也保不了你的網站安全
→ alog:3. 要注意一些程式語言的動態或相關資訊新聞
→ alog:因為現在的已經不向過往，用一個語言幹全部的事，很多都採用
→ alog:有特色的語言 or 框架架構來解一些性能上比較不足的地方
→ alog:但是這種異質的架構往往都會帶來一些安全隱憂
→ alog:如果不知道這方面的訊息，就像 2. 一樣，有天你的機子也會掛
→ alog:4. 可以不用使用框架，但要懂得他的優劣、特點以及設計方式
→ alog:5. 伺服器安全/設定需要去關注/研究，善用裡面的模組、設定
→ alog:因為很多攻擊或許不是衝著你用的程式，而是看準你不會調校
→ alog:試圖進行癱瘓或try 0day想辦法弄到主機權限
→ alog:又或者不當的設定下，暴露了一些重要程式的位置 或 可以下載
→ alog:特定的檔案資料，所以說，善用主機設定跟調校
→ alog:不僅性能上的運作可以壓榨出server的極限外，安全性也能因為
→ alog:你的設定得到更高標準的防護 避免資料無端流出
噓 laxgenius:推alog大。噓原po～架子真大！
噓 crossdunk:alog大都能回一篇來賺P幣了XD
推 up9cloud:推alog佛心來著...
噓 PoloHuang117:
→ xxxzzz:誠心建議先學問問題該有的EQ
→ Bambe:以為框架怎麼了+1... 結果只是因為不想學框架...
→ afgn:謝謝指教 ^_^
噓 kobala:其實只是不想多學，不是真的懂injection跟xss吧 ZZZ
噓 laxgenius:謝謝指教勒～
→ lovelycateye:你會PHP到何種程度？可以自己寫框架的程度了嗎？
→ xyz2222aqaq: 強……