PHP 安全编程建议

简介

要提供互联网服务，当你在开发代码的时候必须时刻保持安全意识。可能大部分 PHP 脚本都对安全问题都不在意，这很大程度上是因为有大量的无经验程序员在使用这门语言。但是，没有理由让你因为对你的代码的不确定性而导致不一致的安全策略。当你在服务器上放任何涉及到钱的东西时，就有可能会有人尝试破解它。创建一个论坛程序或者任何形式的购物车，被攻击的可能性就上升到了无穷大。

背景

为了确保你的 web 内容安全，这里有一些常规的安全准则：

别相信表单

攻击表单很简单。通过使用一个简单的 JavaScript 技巧，你可以限制你的表单只允许在评分域中填写 1 到 5 的数字。如果有人关闭了他们浏览器的 JavaScript 功能或者提交自定义的表单数据，你客户端的验证就失败了。

用户主要通过表单参数和你的脚本交互，因此他们是最大的安全风险。你应该学到什么呢？在 PHP 脚本中，总是要验证 传递给任何 PHP 脚本的数据。在本文中，我们向你演示了如何分析和防范跨站脚本（XSS）攻击，它可能会劫持用户凭据（甚至更严重）。你也会看到如何防止会玷污或毁坏你数据的 MySQL 注入攻击。

别相信用户

假定你网站获取的每一份数据都充满了有害的代码。清理每一部分，即便你相信没有人会尝试攻击你的站点。

关闭全局变量

你可能会有的最大安全漏洞是启用了 register_globals 配置参数。幸运的是，PHP 4.2 及以后版本默认关闭了这个配置。如果打开了 register_globals，你可以在你的 php.ini 文件中通过改变 register_globals 变量为 Off 关闭该功能：



    

  1. register_globals = Off 
    2. 



新手程序员觉得注册全局变量很方便，但他们不会意识到这个设置有多么危险。一个启用了全局变量的服务器会自动为全局变量赋任何形式的参数。为了了解它如何工作以及为什么有危险，让我们来看一个例子。


假设你有一个称为 process.php 的脚本，它会向你的数据库插入表单数据。初始的表单像下面这样：




    

  1. <input name="username" type="text" size="15" maxlength="64">
    2. 



运行 process.php 的时候，启用了注册全局变量的 PHP 会将该参数赋值到 $username 变量。这会比通过 $_POST['username'] 或 $_GET['username'] 访问它节省击键次数。不幸的是，这也会给你留下安全问题，因为 PHP 会设置该变量的值为通过 GET 或 POST 的参数发送到脚本的任何值，如果你没有显示地初始化该变量并且你不希望任何人去操作它，这就会有一个大问题。


看下面的脚本，假如 $authorized 变量的值为 true，它会给用户显示通过验证的数据。正常情况下，只有当用户正确通过了这个假想的 authenticated_user() 函数验证，$authorized 变量的值才会被设置为真。但是如果你启用了 register_globals，任何人都可以发送一个 GET 参数，例如 authorized=1 去覆盖它：




    

  1. <?php
    2. 

  2. // Define $authorized = true only if user is authenticated
    3. 

  3. if (authenticated_user()) {
    4. 

  4.     $authorized = true;
    5. 

  5. }
    6. 

  6. ?>
    7. 



这个故事的寓意是，你应该从预定义的服务器变量中获取表单数据。所有通过 post 表单传递到你 web 页面的数据都会自动保存到一个称为 $_POST 的大数组中，所有的 GET 数据都保存在 $_GET 大数组中。文件上传信息保存在一个称为 $_FILES 的特殊数据中。另外，还有一个称为 $_REQUEST 的复合变量。


要从一个 POST 方法表单中访问 username 字段，可以使用 $_POST['username']。如果 username 在 URL 中就使用 $_GET['username']。如果你不确定值来自哪里，用 $_REQUEST['username']。




    

  1. <?php
    2. 

  2. $post_value = $_POST['post_value'];
    3. 

  3. $get_value = $_GET['get_value'];
    4. 

  4. $some_variable = $_REQUEST['some_value']; 
    5. 

  5. ?>  
    6. 



$_REQUEST 是 $_GET、$_POST、和 $_COOKIE 数组的结合。如果你有两个或多个值有相同的参数名称，注意 PHP 会使用哪个。默认的顺序是 cookie、POST、然后是 GET。


推荐安全配置选项


这里有几个会影响安全功能的 PHP 配置设置。下面是一些显然应该用于生产服务器的：


    

  • register_globals 设置为 off
    • 

  • safe_mode 设置为 off
    • 

  • error_reporting 设置为 off。如果出现错误了，这会向用户浏览器发送可见的错误报告信息。对于生产服务器，使用错误日志代替。开发服务器如果在防火墙后面就可以启用错误日志。（LCTT 译注：此处据原文逻辑和常识，应该是“开发服务器如果在防火墙后面就可以启用错误报告，即 on。”）
    • 

  • 停用这些函数：system()、exec()、passthru()、shell_exec()、proc_open()、和 popen()。
    • 

  • open_basedir 为 /tmp（以便保存会话信息）目录和 web 根目录，以便脚本不能访问这些选定区域外的文件。
    • 

  • expose_php 设置为 off。该功能会向 Apache 头添加包含版本号的 PHP 签名。
    • 

  • allow_url_fopen 设置为 off。如果你能够注意你代码中访问文件的方式-也就是你验证所有输入参数，这并不严格需要。
    • 

  • allow_url_include 设置为 off。对于任何人来说，实在没有明智的理由会想要访问通过 HTTP 包含的文件。
    • 



一般来说，如果你发现想要使用这些功能的代码，你就不应该相信它。尤其要小心会使用类似 system() 函数的代码-它几乎肯定有缺陷。


启用了这些设置后，让我们来看看一些特定的攻击以及能帮助你保护你服务器的方法。


SQL 注入攻击


由于 PHP 传递到 MySQL 数据库的查询语句是用强大的 SQL 编程语言编写的，就有了某些人通过在 web 查询参数中使用 MySQL 语句尝试 SQL 注入攻击的风险。通过在参数中插入有害的 SQL 代码片段，攻击者会尝试进入（或破坏）你的服务器。


假如说你有一个最终会放入变量 $product 的表单参数，你使用了类似下面的 SQL 语句：




    

  1. $sql = "select * from pinfo where product = '$product'";
    2. 



如果参数是直接从表单中获得的，应该使用 PHP 自带的数据库特定转义函数，类似：




    

  1. $sql = 'Select * from pinfo where product = '"' 
    2. 

  2.        mysql_real_escape_string($product) . '"';
    3. 



如果不这样做的话，有人也许会把下面的代码段放到表单参数中：




    

  1. 39'; DROP pinfo; SELECT 'FOO 
    2. 



那么 $sql 的结果就是：




    

  1. select product from pinfo where product = '39'; DROP pinfo; SELECT 'FOO' 
    2. 



由于分号是 MySQL 的语句分隔符，数据库会运行下面三条语句：




    

  1. select * from pinfo where product = '39'
    2. 

  2. DROP pinfo
    3. 

  3. SELECT 'FOO' 
    4. 



好了，你丢失了你的表。


注意实际上 PHP 和 MySQL 不会运行这种特殊语法，因为 mysql_query() 函数只允许每个请求处理一个语句。但是，一个子查询仍然会生效。


要防止 SQL 注入攻击，做这两件事：


    

  • 总是验证所有参数。例如，如果需要一个数字，就要确保它是一个数字。
    • 

  • 总是对数据使用 mysql_real_escape_string() 函数转义数据中的任何引号和双引号。
    • 



注意：要自动转义任何表单数据，可以启用魔术引号（Magic Quotes）。


一些 MySQL 破坏可以通过限制 MySQL 用户权限避免。任何 MySQL 账户可以限制为只允许对选定的表进行特定类型的查询。例如，你可以创建只能选择行的 MySQL 用户。但是，这对于动态数据并不十分有用，另外，如果你有敏感的用户信息，可能某些人能访问其中一些数据，但你并不希望如此。例如，一个访问账户数据的用户可能会尝试注入访问另一个人的账户号码的代码，而不是为当前会话指定的号码。


防止基本的 XSS 攻击


XSS 表示跨站脚本。不像大部分攻击，该漏洞发生在客户端。XSS 最常见的基本形式是在用户提交的内容中放入 JavaScript 以便偷取用户 cookie 中的数据。由于大部分站点使用 cookie 和 session 验证访客，偷取的数据可用于模拟该用户-如果是一个常见的用户账户就会深受麻烦，如果是管理员账户甚至是彻底的惨败。如果你不在站点中使用 cookie 和 session ID，你的用户就不容易被攻击，但你仍然应该明白这种攻击是如何工作的。


不像 MySQL 注入攻击，XSS 攻击很难预防。Yahoo、eBay、Apple、以及 Microsoft 都曾经受 XSS 影响。尽管攻击不包含 PHP，但你可以使用 PHP 来剥离用户数据以防止攻击。为了防止 XSS 攻击，你应该限制和过滤用户提交给你站点的数据。正是因为这个原因，大部分在线公告板都不允许在提交的数据中使用 HTML 标签，而是用自定义的标签格式代替，例如 [b] 和 [linkto]。


让我们来看一个如何防止这类攻击的简单脚本。对于更完善的解决办法，可以使用 SafeHTML，本文的后面部分会讨论到。




    

  1. function transform_HTML($string, $length = null) {
    2. 

  2. // Helps prevent XSS attacks
    3. 

  3.     // Remove dead space.
    4. 

  4.     $string = trim($string);
    5. 

  5.     // Prevent potential Unicode codec problems.
    6. 

  6.     $string = utf8_decode($string);
    7. 

  7.     // HTMLize HTML-specific characters.
    8. 

  8.     $string = htmlentities($string, ENT_NOQUOTES);
    9. 

  9.     $string = str_replace("#", "#", $string);
    10. 

  10.     $string = str_replace("%", "%", $string);
    11. 

  11.     $length = intval($length);
    12. 

  12.     if ($length > 0) {
    13. 

  13.         $string = substr($string, 0, $length);
    14. 

  14.     }
    15. 

  15.     return $string;
    16. 

  16. } 
    17. 



这个函数将 HTML 特定的字符转换为 HTML 字面字符。一个浏览器对任何通过这个脚本的 HTML 以非标记的文本呈现。例如，考虑下面的 HTML 字符串：




    

  1. <STRONG>Bold Text</STRONG>
    2. 



一般情况下，HTML 会显示为：Bold Text


但是，通过 transform_HTML() 后，它就像原始输入一样呈现。原因是处理的字符串中的标签字符串转换为 HTML 实体。transform_HTML() 的结果字符串的纯文本看起来像下面这样：




    

  1. <STRONG>Bold Text</STRONG> 
    2. 



该函数的实质是 htmlentities() 函数调用，它会将 <、>、和 & 转换为 &lt;、&gt;、和 &amp;。尽管这会处理大部分的普通攻击，但有经验的 XSS 攻击者有另一种把戏：用十六进制或 UTF-8 编码恶意脚本，而不是采用普通的 ASCII 文本，从而希望能绕过你的过滤器。他们可以在 URL 的 GET 变量中发送代码，告诉浏览器，“这是十六进制代码，你能帮我运行吗？” 一个十六进制例子看起来像这样：




    

  1. <a href="http://host/a.php?variable=%22%3e %3c%53%43%52%49%50%54%3e%44%6f%73%6f%6d%65%74%68%69%6e%67%6d%61%6c%69%63%69%6f%75%73%3c%2f%53%43%52%49%50%54%3e"> 
    2. 



浏览器渲染这个信息的时候，结果就是：




    

  1. <a href="http://host/a.php?variable="> <SCRIPT>Dosomethingmalicious</SCRIPT>
    2. 



为了防止这种情况，transform_HTML() 采用额外的步骤把 # 和 % 符号转换为它们的实体，从而避免十六进制攻击，并转换 UTF-8 编码的数据。


最后，为了防止某些人用很长的输入超载字符串从而导致某些东西崩溃，你可以添加一个可选的 $length 参数来截取你指定最大长度的字符串。


使用 SafeHTML


之前脚本的问题比较简单，它不允许任何类型的用户标记。不幸的是，这里有上百种方法能使 JavaScript 跳过用户的过滤器，并且要从用户输入中剥离全部 HTML，还没有方法可以防止这种情况。


当前，没有任何一个脚本能保证无法被破解，尽管有一些确实比大部分要好。有白名单和黑名单两种方法加固安全，白名单比较简单而且更加有效。


一个白名单解决方案是 PixelApes 的 SafeHTML 反跨站脚本解析器。


SafeHTML 能识别有效 HTML，能追踪并剥离任何危险标签。它用另一个称为 HTMLSax 的软件包进行解析。


按照下面步骤安装和使用 SafeHTML：


    

  1. 到 http://pixel-apes.com/safehtml/?page=safehtml 下载最新版本的 SafeHTML。
    2. 

  2. 把文件放到你服务器的类文件夹。该文件夹包括 SafeHTML 和 HTMLSax 功能所需的所有东西。
    3. 

  3. 在脚本中 include SafeHTML 类文件（safehtml.php）。
    4. 

  4. 创建一个名为 $safehtml 的新 SafeHTML 对象。
    5. 

  5. 用 $safehtml->parse() 方法清理你的数据。
    6. 



这是一个完整的例子：




    

  1. <?php
    2. 

  2. /* If you're storing the HTMLSax3.php in the /classes directory, along
    3. 

  3.    with the safehtml.php script, define XML_HTMLSAX3 as a null string. */
    4. 

  4. define(XML_HTMLSAX3, '');
    5. 

  5. // Include the class file.
    6. 

  6. require_once('classes/safehtml.php');
    7. 

  7. // Define some sample bad code.
    8. 

  8. $data = "This data would raise an alert <script>alert('XSS Attack')</script>";
    9. 

  9. // Create a safehtml object.
    10. 

  10. $safehtml = new safehtml();
    11. 

  11. // Parse and sanitize the data.
    12. 

  12. $safe_data = $safehtml->parse($data);
    13. 

  13. // Display result.
    14. 

  14. echo 'The sanitized data is <br />' . $safe_data;
    15. 

  15. ?>
    16. 



如果你想清理脚本中的任何其它数据，你不需要创建一个新的对象；在你的整个脚本中只需要使用 $safehtml->parse() 方法。


什么可能会出现问题？


你可能犯的最大错误是假设这个类能完全避免 XSS 攻击。SafeHTML 是一个相当复杂的脚本，几乎能检查所有事情，但没有什么是能保证的。你仍然需要对你的站点做参数验证。例如，该类不能检查给定变量的长度以确保能适应数据库的字段。它也不检查缓冲溢出问题。


XSS 攻击者很有创造力，他们使用各种各样的方法来尝试达到他们的目标。可以阅读 RSnake 的 XSS 教程http://ha.ckers.org/xss.html ，看一下这里有多少种方法尝试使代码跳过过滤器。SafeHTML 项目有很好的程序员一直在尝试阻止 XSS 攻击，但无法保证某些人不会想起一些奇怪和新奇的方法来跳过过滤器。


注意：XSS 攻击严重影响的一个例子 http://namb.la/popular/tech.html，其中显示了如何一步一步创建一个让 MySpace 服务器过载的 JavaScript XSS 蠕虫。


用单向哈希保护数据


该脚本对输入的数据进行单向转换，换句话说，它能对某人的密码产生哈希签名，但不能解码获得原始密码。为什么你希望这样呢？应用程序会存储密码。一个管理员不需要知道用户的密码，事实上，只有用户知道他/她自己的密码是个好主意。系统（也仅有系统）应该能识别一个正确的密码；这是 Unix 多年来的密码安全模型。单向密码安全按照下面的方式工作：


    

  1. 当一个用户或管理员创建或更改一个账户密码时，系统对密码进行哈希并保存结果。主机系统会丢弃明文密码。
    2. 

  2. 当用户通过任何方式登录到系统时，再次对输入的密码进行哈希。
    3. 

  3. 主机系统丢弃输入的明文密码。
    4. 

  4. 当前新哈希的密码和之前保存的哈希相比较。
    5. 

  5. 如果哈希的密码相匹配，系统就会授予访问权限。
    6. 



主机系统完成这些并不需要知道原始密码；事实上，原始密码完全无所谓。一个副作用是，如果某人侵入系统并盗取了密码数据库，入侵者会获得很多哈希后的密码，但无法把它们反向转换为原始密码。当然，给足够时间、计算能力，以及弱用户密码，一个攻击者还是有可能采用字典攻击找出密码。因此，别轻易让人碰你的密码数据库，如果确实有人这样做了，让每个用户更改他们的密码。


加密 Vs 哈希


技术上来来说，哈希过程并不是加密。哈希和加密是不同的，这有两个理由：


不像加密，哈希数据不能被解密。


是有可能（但非常罕见）两个不同的字符串会产生相同的哈希。并不能保证哈希是唯一的，因此别像数据库中的唯一键那样使用哈希。




    

  1. function hash_ish($string) {
    2. 

  2.     return md5($string);
    3. 

  3. }
    4. 



上面的 md5() 函数基于 RSA 数据安全公司的消息摘要算法（即 MD5）返回一个由 32 个字符组成的十六进制串。然后你可以将那个 32 位字符串插入到数据库中和另一个 md5 字符串相比较，或者直接用这 32 个字符。


破解脚本


几乎不可能解密 MD5 数据。或者说很难。但是，你仍然需要好的密码，因为用一整个字典生成哈希数据库仍然很简单。有一些在线 MD5 字典，当你输入 06d80eb0c50b49a509b49f2424e8c805 后会得到结果 “dog”。因此，尽管技术上 MD5 不能被解密，这里仍然有漏洞，如果某人获得了你的密码数据库，你可以肯定他们肯定会使用 MD5 字典破译。因此，当你创建基于密码的系统的时候尤其要注意密码长度（最小 6 个字符，8 个或许会更好）和包括字母和数字。并确保这个密码不在字典中。


用 Mcrypt 加密数据


如果你不需要以可阅读形式查看密码，采用 MD5 就足够了。不幸的是，这里并不总是有可选项，如果你提供以加密形式存储某人的信用卡信息，你可能需要在后面的某个地方进行解密。


最早的一个解决方案是 Mcrypt 模块，这是一个用于允许 PHP 高速加密的插件。Mcrypt 库提供了超过 30 种用于加密的计算方法，并且提供口令确保只有你（或者你的用户）可以解密数据。


让我们来看看使用方法。下面的脚本包含了使用 Mcrypt 加密和解密数据的函数：




    

  1. <?php
    2. 

  2. $data = "Stuff you want encrypted";
    3. 

  3. $key = "Secret passphrase used to encrypt your data";
    4. 

  4. $cipher = "MCRYPT_SERPENT_256";
    5. 

  5. $mode = "MCRYPT_MODE_CBC";
    6. 

  6. function encrypt($data, $key, $cipher, $mode) {
    7. 

  7. // Encrypt data
    8. 

  8. return (string)
    9. 

  9.             base64_encode
    10. 

  10.                 (
    11. 

  11.                 mcrypt_encrypt
    12. 

  12.                     (
    13. 

  13.                     $cipher,
    14. 

  14.                     substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)),
    15. 

  15.                     $data,
    16. 

  16.                     $mode,
    17. 

  17.                     substr(md5($key),0,mcrypt_get_block_size($cipher, $mode))
    18. 

  18.                     )
    19. 

  19.                 );
    20. 

  20. }
    21. 

  21. function decrypt($data, $key, $cipher, $mode) {
    22. 

  22. // Decrypt data
    23. 

  23.     return (string)
    24. 

  24.             mcrypt_decrypt
    25. 

  25.                 (
    26. 

  26.                 $cipher,
    27. 

  27.                 substr(md5($key),0,mcrypt_get_key_size($cipher, $mode)),
    28. 

  28.                 base64_decode($data),
    29. 

  29.                 $mode,
    30. 

  30.                 substr(md5($key),0,mcrypt_get_block_size($cipher, $mode))
    31. 

  31.                 );
    32. 

  32. }
    33. 

  33. ?>
    34. 



mcrypt() 函数需要几个信息：


    

  • 需要加密的数据
    • 

  • 用于加密和解锁数据的口令，也称为键。
    • 

  • 用于加密数据的计算方法，也就是用于加密数据的算法。该脚本使用了 MCRYPT_SERPENT_256，但你可以从很多算法中选择，包括 MCRYPT_TWOFISH192、MCRYPT_RC2、MCRYPT_DES、和 MCRYPT_LOKI97。
    • 

  • 加密数据的模式。这里有几个你可以使用的模式，包括电子密码本（Electronic Codebook） 和加密反馈（Cipher Feedback）。该脚本使用 MCRYPT_MODE_CBC 密码块链接。
    • 

  • 一个 初始化向量-也称为 IV 或者种子，用于为加密算法设置种子的额外二进制位。也就是使算法更难于破解的额外信息。
    • 

  • 键和 IV 字符串的长度，这可能随着加密和块而不同。使用 mcrypt_get_key_size() 和 mcrypt_get_block_size() 函数获取合适的长度；然后用 substr() 函数将键的值截取为合适的长度。（如果键的长度比要求的短，别担心，Mcrypt 会用 0 填充。）
    • 



如果有人窃取了你的数据和短语，他们只能一个个尝试加密算法直到找到正确的那一个。因此，在使用它之前我们通过对键使用 md5() 函数增加安全，就算他们获取了数据和短语，入侵者也不能获得想要的东西。


入侵者同时需要函数，数据和口令，如果真是如此，他们可能获得了对你服务器的完整访问，你只能大清洗了。


这里还有一个数据存储格式的小问题。Mcrypt 以难懂的二进制形式返回加密后的数据，这使得当你将其存储到 MySQL 字段的时候可能出现可怕错误。因此，我们使用 base64encode() 和 base64decode() 函数转换为和 SQL 兼容的字母格式和可检索行。


破解脚本


除了实验多种加密方法，你还可以在脚本中添加一些便利。例如，不用每次都提供键和模式，而是在包含的文件中声明为全局常量。


生成随机密码


随机（但难以猜测）字符串在用户安全中很重要。例如，如果某人丢失了密码并且你使用 MD5 哈希，你不可能，也不希望查找回来。而是应该生成一个安全的随机密码并发送给用户。为了访问你站点的服务，另外一个用于生成随机数字的应用程序会创建有效链接。下面是创建密码的一个函数：




    

  1. <?php
    2. 

  2.  function make_password($num_chars) {
    3. 

  3.     if ((is_numeric($num_chars)) &&
    4. 

  4.         ($num_chars > 0) &&
    5. 

  5.         (! is_null($num_chars))) {
    6. 

  6.         $password = '';
    7. 

  7.         $accepted_chars = 'abcdefghijklmnopqrstuvwxyz1234567890';
    8. 

  8.         // Seed the generator if necessary.
    9. 

  9.         srand(((int)((double)microtime()*1000003)) );
    10. 

  10.         for ($i=0; $i<=$num_chars; $i++) {
    11. 

  11.             $random_number = rand(0, (strlen($accepted_chars) -1));
    12. 

  12.             $password .= $accepted_chars[$random_number] ;
    13. 

  13.         }
    14. 

  14.         return $password;
    15. 

  15.      }
    16. 

  16. }
    17. 

  17. ?> 
    18. 



使用脚本


make_password() 函数返回一个字符串，因此你需要做的就是提供字符串的长度作为参数：




    

  1. <?php
    2. 

  2. $fifteen_character_password = make_password(15);
    3. 

  3. ?> 
    4. 



函数按照下面步骤工作：


    

  • 函数确保 $num_chars 是非零的正整数。
    • 

  • 函数初始化 $accepted_chars 变量为密码可能包含的字符列表。该脚本使用所有小写字母和数字 0 到 9，但你可以使用你喜欢的任何字符集合。（LCTT 译注：有时候为了便于肉眼识别，你可以将其中的 0 和 O，1 和 l 之类的都去掉。）
    • 

  • 随机数生成器需要一个种子，从而获得一系列类随机值（PHP 4.2 及之后版本中并不需要，会自动播种）。
    • 

  • 函数循环 $num_chars 次，每次迭代生成密码中的一个字符。
    • 

  • 对于每个新字符，脚本查看 $accepted_chars 的长度，选择 0 和长度之间的一个数字，然后添加 $accepted_chars 中该数字为索引值的字符到 $password。
    • 

  • 循环结束后，函数返回 $password。
    • 

  • 原文发布时间为：2015-07-23
    • 


    • 


    • 

  • 本文来自合作伙伴“Linux中国
    • 

				


				
时间： 2024-09-08 04:46:37

		
		


		


	

	
	

		


		
PHP 安全编程建议的相关文章


						

		

			

                给Python入门者的一些编程建议
			

		

		

									

				 这篇文章主要介绍了给Python入门者的一些编程建议,包括对集合初始化和GIL理解等一些需要注意的地方,需要的朋友可以参考下     Python是一种非常富有表现力的语言.它为我们提供了一个庞大的标准库和许多内置模块,帮助我们快速完成工作.然而,许多人可能会迷失在它提供的功能中,不能充分利用标准库,过度重视单行脚本,以及误解Python基本结构等.本文是一个关于Python新手可能会陷入的一些陷阱的不完全列表. 不知道Python版本 这是一个在StackOverflow上反复出现的问题.许			

		

	

				

		

			

                我曾得到的最佳编程建议
			

		

		

									

				这是一个有关于我得到的一些专业性编程建议的故事,以及它如何影响了我的职业生涯.我真心觉得此建议真可谓是字字珠玑,所以我想分享给大家. 建议 还是在1996年,我刚得到我的第一份全职工作.公司:微软.产品:Windows 2000.老板是一个叫Terry Lahman的家伙,满脸的络腮胡子,却非常慈祥,打心眼里关心产品和他的员工.那个时候我才刚毕业,非常惶恐,都不知道自己应该做什么,只能竭尽全力做 好Terry所吩咐的每一件事情,小心翼翼,不敢越雷池一步. 有一天,他走进我的办公室,然后,他说:			

		

	

				

		

			

                JS编程建议——3：减少全局变量污染
			

		

		

									

				建议3:减少全局变量污染定义全局变量有3种方式:在任何函数外面直接执行var语句. var f = 'value'; 直接添加一个属性到全局对象上.全局对象是所有全局变量的容器.在Web浏览器中,全局对象名为window. window.f = 'value'; 直接使用未经声明的变量,以这种方式定义的全局变量被称为隐式的全局变量. f = 'value'; 为方便初学者在使用前无须声明变量而有意设计了隐式的全局变量,然而不幸的是忘记声明变量成了一个非常普遍的现象.JavaScript的策略是让			

		

	

				

		

			

                JS编程建议——8：谨慎使用运算符（1）
			

		

		

									

				建议8:谨慎使用运算符(1)1.用===,而不用==JavaScript有两组相等运算符:===和!==.==和!=.===和!==这一组运算符会按照期望的方式工作.如果两个运算数类型一致且拥有相同的值,那么===返回true,而!==返回false.==和!=只有在两个运算数类型一致时才会做出正确的判断,如果两个运算数是不同的类型,会试图强制转换运算数的类型.转换的规则复杂且难以记忆,具体规则如下: '' == '0' // false 0 == '' // true 0 == '0' //			

		

	

				

		

			

                JS编程建议——29：准确使用循环体（1）
			

		

		

									

				建议29:准确使用循环体(1)1.选择正确的循环体在大多数编程语言中,代码执行时间多数消耗在循环的执行上.在一系列编程模式中,循环是最常用的模式之一,因此也是提高性能必须关注的地方之一.理解JavaScript 中循环对性能的影响至关重要,因为死循环或长时间运行的循环会严重影响用户体验.JavaScript定义了4种类型的循环:第一种循环是标准的for循环,与C语言使用同样的语法: for (var i=0; i < 10; i++){ //循环体 } for循环是最常用的循环结构,它由4部分组			

		

	

				

		

			

                JS编程建议——50：正确检测数组类型
			

		

		

									

				建议50:正确检测数组类型由于数组和对象的数据同源性,导致在JavaScript编程中经常会出现:在必须使用数组时使用了对象,或者在必须使用对象时使用了数组.选用数组或对象的规则很简单:当属性名是小而连续的整数时,应该使用数组,或者当对属性的位置和排列顺序有要求时,应该使用数组.否则,使用对象.JavaScript语言对数组和对象的区别是混乱的.typeof运算符检测数组的类型是"object",这没有什么意义,因此在正确检测数组和对象方面JavaScript没有提供很多的机制.这时可			

		

	

				

		

			

                JS编程建议——59：推荐动态调用函数
			

		

		

									

				建议59:推荐动态调用函数调用函数更便捷的方式是使用Function对象的call和apply方法.apply与call方法在本质上没有太大区别,只不过它们传递给函数的参数方式不同, apply是以数组形式进行参数传递,而call方法可以同时传递多个值.如果某个函数仅能够接收多个参数列表,而现在希望把一个数组的所有元素作为参数进行传递,那么使用apply方法就显得非常便利.function max(){ var m = Number.NEGATIVE_INFINITY; // 声明一个负无穷大的			

		

	

				

		

			

                JS编程建议——65：比较函数的惰性求值与非惰性求值
			

		

		

									

				建议65:比较函数的惰性求值与非惰性求值在JavaScript中,使用函数式风格编程时,应该对于表达式有着深刻的理解,并能够主动使用表达式的连续运算来组织代码.1)在运算元中,除了JavaScript默认的数据类型外,函数也作为一个重要的运算元参与运算.2)在运算符中,除了JavaScript的大量预定义运算符外,函数还作为一个重要的运算符进行计算和组织代码.函数作为运算符参与运算,具有非惰性求值特性.非惰性求值行为自然会对整个程序产生一定的负面影响.先看下面这个示例:var a = 2;fun			

		

	

				

		

			

                JS编程建议——74：使用高阶函数
			

		

		

									

				建议74:使用高阶函数高阶函数作为函数式编程众多风格中的一项显著特征,经常被使用.实际上,高阶函数即对函数的进一步抽象.高阶函数至少满足下列条件之一:接受函数作为输入.输出一个函数. 在函数式语言中,函数不但是一种特殊的对象,还是一种类型,因此函数本身是一个可以传来传去的值.也就是说,某个函数在刚开始执行的时候,总可以送入一个函数的参数.传入的参数本身就是一个函数.当然,这个输入的函数相当于某个函数的另外一个函数.当函数执行完毕之后,又可以返回另外一个新的函数,这个返回函数取决于return f			

		

	

				

		

			

                JS编程建议——67：套用函数
			

		

		

									

				建议67:套用函数套用是JavaScript函数一个很有趣的应用.所谓套用就是将函数与传递给它的参数相结合,产生一个新的函数.在函数式编程中,函数本身也是一个值,这种特性允许用户以有趣的方式去操作函数值.例如,在下面代码中定义一个add()函数,该函数能够返回一个新的函数,并把参数值传递给这个新函数,从而实现连加操作.var add = function(n){ return function(m){ return n+m; } }document.writeln(add(2)(3)); //5