CodeIgniter 安全配置与开发规范指南

基础安全配置

大部分安全设置集中在 application/config/config.php 配置文件中。以下是关键参数的配置建议：

1. 加密密钥 (encryption_key)
   必须设置一个复杂的随机字符串，用于加密 Cookie 和数据，防止数据被篡改或读取。
2. Cookie 安全 (cookie_secure)
   设置为 TRUE 可确保 Cookie 仅通过 HTTPS 连接传输，提升通信安全性。
3. 全局 XSS 过滤 (global_xss_filtering)
   设置为 TRUE 以自动过滤 GET、POST 和 COOKIE 数据中的潜在恶意脚本。
4. CSRF 保护 (csrf_protection)
   开启后框架会在表单生成时自动加入 CSRF Token，需同步配置 Token 名称、Cookie 名称及过期时间。

$config['encryption_key'] = 'YOUR_RANDOM_KEY_HERE'; // 务必设置强随机密钥
$config['cookie_secure'] = TRUE; // 仅限 HTTPS 传输 Cookie

/*
|--------------------------------------------------------------------------
| Global XSS Filtering
|--------------------------------------------------------------------------
*/
$config['global_xss_filtering'] = TRUE;

/*
|--------------------------------------------------------------------------
| CSRF Protection
|--------------------------------------------------------------------------
*/
$config['csrf_protection'] = TRUE;
$config['csrf_token_name'] = 'csrf_test_name'; // 建议使用默认或自定义唯一名称
$config['csrf_cookie_name'] = 'csrf_cookie_name';
$config['csrf_expire'] = 7200; // 令牌有效期（秒），建议合理设置以防止会话超时

第1步：检查 Input 类过滤行为

在旧版本 CodeIgniter 中，system/core/Input.php 的 get() 和 post() 方法可能包含 $xss_clean 参数逻辑。在现代版本中，通常建议在调用输入方法时显式指定 XSS 过滤：

- 使用 $this->input->get('name', true) 替代 $_GET['name']。
- 使用 $this->input->post('name', true) 替代 $_POST['name']。

这样可以在获取特定输入数据时单独启用安全过滤，灵活性更高。

开发中的安全实践

第2步：统一使用安全的输入访问接口

避免直接使用 PHP 超全局变量 $_GET、$_POST、$_COOKIE，因为它们未经过框架的安全预处理。始终通过 $this->input 类来获取用户输入，并在必要时开启第二个参数的 XSS 过滤功能。

第3步：优先使用 ActiveRecord 进行数据库查询

为防范 SQL 注入攻击，尽量使用 CodeIgniter 的 Query Builder 或 ActiveRecord 风格书写 SQL 语句。框架会自动对查询值进行转义和处理。

// 推荐写法：安全自动转义
$this->db->where('username', $user_input);
$query = $this->db->get('users');

// 避免拼接字符串构造 SQL

完成判断与安全验证

配置完成后，可通过以下方式进行简单验证：
- 提交包含 HTML/JS 代码的表单字段，观察是否被自动转义或过滤。
- 尝试直接访问带参数的 POST 接口而不附带 CSRF Token，确认是否被拒绝。
- 检查生成的 Cookie 是否标记为 Secure 且 HttpOnly。

以上就是 CodeIgniter 安全相关设置的详细内容，更多关于 CodeIgniter 性能优化与进阶技巧的资料请关注本站其它相关文章！