ThinkPhp5.0学习笔记(三) 持续更新中...

日志

日志初始化

Log::init([
    'type'  =>  'File',
    'path'  =>  APP_PATH.'logs/'
]);

初始化了日志保存类型和存储目录

调用Log::record记录日志信息

清空日志

Log::clear();

日志级别

log 常规日志，用于记录日志
error 错误，一般会导致程序的终止
notice 警告，程序可以运行但是还不够完美的错误
info 信息，程序输出信息
debug 调试，用于调试信息
sql SQL语句，用于SQL记录，只在数据库的调试模式开启时有效

Log::record('错误信息','error');
Log::record('日志信息','info');

404页面自定义

config文件下：

'http_exception_template'    =>  [
    // 定义404错误的重定向页面地址
    404 =>  APP_PATH.'404.html',
    // 还可以定义其它的HTTP status
    401 =>  APP_PATH.'401.html',
]

验证器

namespace app\index\validate;

use think\Validate;

⭐️class User extends Validate
{
    protected $rule = [
        'name'  =>  'require|max:25',
        'email' =>  'email',
    ];

}

在需要进行User验证的地方，添加如下代码即可：

$data = [
    'name'=>'thinkphp',
    'email'=>'thinkphp@qq.com'
];

⭐️$validate = Loader::validate('User');
//和下面的example是不一样的哟,下面的rule是在实例化validate时定义的哟

if(!$validate->check($data)){
    dump($validate->getError());
}

验证规则

example:

$rule = [
    'name'  => 'require|max:25',
    'age'   => 'number|between:1,120',
    'email' => 'email',
];

$msg = [
    'name.require' => '名称必须',
    'name.max'     => '名称最多不能超过25个字符',
    'age.number'   => '年龄必须是数字',
    'age.between'  => '年龄只能在1-120之间',
    'email'        => '邮箱格式错误',
];//输入与规则冲突时会返回msg里的消息

$data = [
    'name'  => 'thinkphp',
    'age'   => 10,
    'email' => 'thinkphp@qq.com',
];

⭐️$validate = new Validate($rule, $msg);
$result   = $validate->check($data);

安全

输入安全

永远不要相信用户用户提交的数据

设置public目录为唯一对外访问目录，不要把资源文件放入应用目录；
开启表单令牌验证避免数据的重复提交，能起到CSRF防御作用；
使用框架提供的请求变量获取方法（Request类param方法及input助手函数）而不是原生系统变量获取用户输入数据；
对不同的应用需求设置default_filter过滤规则（默认没有任何过滤规则），常见的安全过滤函数包括stripslashes、htmlentities、htmlspecialchars和strip_tags等，请根据业务场景选择最合适的过滤方法；
使用验证类或者验证方法对业务数据设置必要的验证规则；
如果可能开启强制路由或者设置MISS路由规则，严格规范每个URL请求；

XSS攻击

什么是xss攻击

Cross-site scripting(跨网站脚本攻击)

XSS 的本质是：恶意代码未经过滤，与网站正常的代码混在一起；浏览器无法分辨哪些脚本是可信的，导致恶意脚本被执行

简单例子

<input type="text" value="<%= getParameter("keyword") %>">
<button>搜索</button>
<div>
  您搜索的关键词是：<%= getParameter("keyword") %>
</div>

当浏览器请求 http://xxx/search?keyword="><script>alert('XSS');</script> 时

服务器解析出参数keyword,拼接到html返回给浏览器。形成如下的html:

⭐️<input type="text" value=""><script>alert('XSS');</script>">
<button>搜索</button>
<div>
  您搜索的关键词是："><script>alert('XSS');</script>
</div>

👆仅是一种很简单的xss攻击

如何预防xss攻击

纯前端渲染

纯前端渲染的过程：

浏览器先加载一个静态 HTML，此 HTML 中不包含任何跟业务相关的数据。

然后浏览器执行 HTML 中的 JavaScript。

JavaScript 通过 Ajax 加载业务数据，调用 DOM API 更新到页面上。
转义 HTML

如果拼接 HTML 是必要的，就需要采用合适的转义库

常用的模板引擎，如 doT.js、ejs、FreeMarker 等，对于 HTML 转义通常只有一个规则，就是把 & < > " ' / 这几个字符转义掉，确实能起到一定的 XSS 防护作用

太多了就不一一列举了

杂项

缓存

config.php配置

Session

Config.php配置

Cookie

config.php配置

上传文件

<form action="/index/index/upload" enctype="multipart/form-data" method="post">
<input type="file" name="image" /> <br> 
<input type="submit" value="上传" /> 
</form>

public function upload(){
    // 获取表单上传文件 例如上传了001.jpg
    $file = request()->file('image');
    
    // 移动到框架应用根目录/public/uploads/ 目录下
    if($file){
        $info = $file->move(ROOT_PATH . 'public' . DS . 'uploads');
        if($info){
            // 成功上传后 获取上传信息
            // 输出 jpg
            echo $info->getExtension();
            // 输出 20160820/42a79759f284b767dfcb2a0197904287.jpg
            echo $info->getSaveName();
            // 输出 42a79759f284b767dfcb2a0197904287.jpg
            echo $info->getFilename(); 
        }else{
            // 上传失败获取错误信息
            echo $file->getError();
        }
    }
}

move方法成功的话返回的是一个\think\File对象，你可以对上传后的文件进行后续操作。

如果要对上传的文件进行验证:

$info = $file->validate(['size'=>15678,'ext'=>'jpg,png,gif'])->move(ROOT_PATH . 'public' . DS . 'uploads');

行为

路由检测是一个行为，静态缓存是一个行为，用户权限检测也是行为

行为发生作用的位置称之为标签（位），程序运行到这个标签的时候，就会被拦截下来，统一执行相关的行为，类似于AOP编程中的“切面”的概念

部署

虚拟主机环境

入口文件：

默认入口文件位于 public/index.php

// 定义应用目录
define('APP_PATH', __DIR__ . '/../application/');
// 加载框架引导文件
require __DIR__ . '/../thinkphp/start.php';

入口文件位置的设计是为了让应用部署更安全，public目录为web可访问目录，其他的文件都可以放到非WEB访问目录下面。

URL重写

[Nginx]

在Nginx.conf配置

image-20190611173159089.png