与“正则”相关的文章 - 𝓍𝑜𝓎𝑜𝓏𝑜.𝓃𝑒𝓉

在网站开发过程中遇到上传图片等文件的功能，需要在服务器上设置该目录可写入，并且必须防止被上传 .php 等可执行的脚本文件。

根据文件所有者的不同，我们分两种情况讨论：

一、程序上传的用户与执行 PHP 的用户不同（例如程序代码通过 SSH 上传（root 用户），而 PHP 以 www 身份运行）

由于 Linux 上的文件默认权限是 644，目录默认权限是 755，所以在这种情况下，PHP 不能修改 root 上传的程序文件，也不能将客户端上传的图片文件保存到服务器上。

例如我们将客户端上传的文件指定到 /upload/ 目录，那么，

第 1 步，赋予它写入权限：

chmod 777 upload

递归所有子目录请加 -R 参数，但会将文件也更改为 777，赋予了执行权限，这是不建议的。文件若需写入权限请设为 666。

第 2 步，设置该目录下不允许执行 PHP：

我们无法保证客户端上传完全符合我们要求的文件，那么必须禁止任何文件的执行权限。（此处指 PHP 的执行权限，注意与 sh 执行权限的区别，后者由 chmod 命令修改）

nginx 的 .conf 文件配置示例：

location ~ /upload/.*\.(php|php5)?$
{
    deny all;
}

Apache 的 .htaccess 文件配置示例：

RewriteRule upload/(.*).(php)$ – [F]

特别注意：上面的代码必须加在 PHP 引用配置的上方才有效（如 nginx 的 PHP 引用配置 include enable-php-**.conf;）

默认 Linux 系统是大小写敏感的，所以规则中的正则表达式无须忽略大小写（但必须与实际的目录或文件名大小写一致），因为 MIME 类型中设置的是小写的 .php，那么类似大写的 .PHP 文件是不被 php-fpm 解释的，结果是被当作普通文本返回到客户端。

提问：有些目录需要设置为可写入，但里面还有正常的 php 文件，禁止执行会有问题吗？（例如 Discuz! 的 config 目录，ThinkPHP 的 Runtime 目录）

解答：以 Discuz! 为例，config 下面虽然有 config_*.php 等配置文件，但这些文件并非直接供客户端浏览，而是被其它 .php 文件引用（include 方式、IO 方式等），当 config 目录禁止执行 PHP 后并不会对它们造成影响。

我们在开发程序的过程中应避免在允许写入的目录下放置直接供客户端浏览的 .php 文件。

二、程序上传的用户与执行 PHP 的用户相同（例如程序代码通过 FTP 上传，且和 PHP 一样，都使用 www 用户）

常见于虚拟空间。这种情况下，通过 PHP 上传的文件可以保存到该网站下面的任何目录下（甚至是网站目录之外，即传说中的跨站），原因大家都懂，默认 755 中第一个是“7”，即所有者拥有写入权限。

因此，除了做到上述设置，我们必须严格控制客户端上传文件的保存路径，做到以下几点：

必须更改客户端上传的文件名，而非直接使用原文件名；

不得从客户端文件名获取扩展名，或者只控制允许的后缀名。

最可靠的文件类型判别方式是分析文件签名，参考：文件签名表，以防篡改后缀名欺骗。

举个早期的栗子：上传文件名为 abc.asp;.jpg，未改文件名保存到服务器，浏览器直接访问该文件，IIS 6 当作 abc.asp 来解析。

xoyozo 7 年前

9,306

宝塔面板使用安全

网站的“防跨站攻击”默认是开启的，对应网站根目录下存在 .user.ini 文件，可阻止该网站程序读写网站目录外的文件或目录。

通过 FTP 上传或通过 PHP 创建的文件（夹）的用户（组）都是 www:www，目录权限 755，文件权限 644

PHP 不需要“执行”权限，因为这个“执行”权限是针对 sh 的

因此 PHP 在该站任何位置具有写入权限

理想的权限控制是：pure-ftp 使用另外的用户（组），譬如 ftp:ftp

这样使用 www:www 的 PHP 就无法随意创建文件，只能在开放了“公共权限”中的“写入”权限的目录中创建。

查看系统用户组：cat /etc/group

查看系统用户：cut -d : -f 1 /etc/passwd

查看 pure-ftp 帮助：

/www/server/pure-ftpd/bin/pure-pw --help

修改 FTP 用户的所有者和组：

/www/server/pure-ftpd/bin/pure-pw usermod FTP用户名 -u 所有者 -g 组

重启 pure-ftp

上述命令经简单测试并没有更改 FTP 用户的所有者和组……

退而求其次的做法是通过 SSH 用 root 来上传网站程序代码，并开放上传目录的“写入”权限

还有重要的一点，在网站的配置文件中禁止这些有“写入”权限的目录中的 PHP 运行权限！（参：在 CentOS (Linux) 中设置目录写入权限，并禁止执行 php）

xoyozo 7 年前

6,878

IIS 中关闭网站并友好提示

IIS 中如果直接“停止”网站，那么打开页面时会显示不友好的“该页无法显示”等界面，如果特殊原因要求不能打开所有页面，但必须有一个友好提示“网站维护中”的页面，那么最土的办法是把网站的所有文件移出来，仅上传一个提示正在维护的网页，并保证是默认首页。其实有一个更加简单有效的解决方案：

在 IIS 中单击该网站，打开“URL 重写”，右侧“添加规则”，选择“空白规则”。名称可以是“网站维护中”，请求的 URL 选择“与模式不匹配”，使用“完全匹配”，模式填入我们的提示页面地址，如“maintaining.html”，操作类型“重定向”，重定向 URL 填入刚才那个页面地址，附加查询字符串不需要，类型选择“临时(307)”，点击右侧“应用”。

好了，该网站的任何请求都会引导到 maintaining.html，而不仅仅是首页的跳转。而且不需要移动网站文件，也保障了不会被人利用网站漏洞攻击篡改网站内容。

补充一点，如果你的 maintaining.html 中调用了网站中的图片、脚本、样式表等，那么需要把模式匹配的方式改为“正则表达式”，并填入正确的正则表达式，以保证这些文件都能被正常请求。

xoyozo 8 年前

4,740

CentOS 装机步骤

最小化安装 CentOS 6.4，配置网络

一条一条执行：
yum -y update
yum -y install wget
yum -y install vim
yum -y install screen
screen -S lnmp

安装 LNMP：http://lnmp.org/install.html
下载安装一条龙

不要升级各软件，以防不测

PHP 防跨站：执行一段命令，替换 vhost.sh 文件，以后添加网站就会自动添加 HOST 防跨站、跨目录的配置

更改数据库路径（/home/mysql/var）
http://bbs.vpser.net/thread-1558-1-1.html 第20条
端口（为了 pureftpd 能安装成功，还是不要改端口了）

防火墙加端口
vim /etc/sysconfig/iptables
service iptables restart

FreeTDS：使 php 支持 mssql

安装 PureFTPd
添加FTP用户时，UID和GID必须>1000，譬如添加一个xWeb组和用户：
groupadd -g 2000 xWeb
useradd -u 2000 -g xWeb -s /sbin/nologin -M userDefault
useradd -u 2001 -g xWeb -s /sbin/nologin -M userFang
useradd -u 2002 -g xWeb -s /sbin/nologin -M user2
useradd -u 2003 -g xWeb -s /sbin/nologin -M user3
然后 chown xUser:xWeb -R /home/wwwroot/网站目录
这样PHP木马就不能上传。非www用户每站一个，防止跨站
要写入的目录chown为www用户，这样PHP能创建目录及上传文件，允许公共写入，使FTP能操作写入（未验证PHP创建的新目录FTP有没有写入权限，即继承），所有要写入的目录必须 deny all

chown userFang:xWeb -R /home/wwwroot/fang.eyuyao.com/
chown www:www -R /home/wwwroot/fang.eyuyao.com/uploads/
chown www:www -R /home/wwwroot/fang.eyuyao.com/eyy/src/
chown www:www -R /home/wwwroot/fang.eyuyao.com/index/Runtime/
chown www:www -R /home/wwwroot/fang.eyuyao.com/admin/Runtime/
—————————————————————————————————
#设置目录不允许执行PHP（其实是使符合正则的路径不可读）
#找到网站的 .conf 配置文件，在 location ~ .*\.(php|php5)?$ 的上面插入：
location ~ /upload/.*\.(php|php5)?$
   {
       deny   all;
   }

#支持 ThinkPHP（使用 rewrite）
location ~ /index\.php/.*$
   {
       if (!-e $request_filename) {
           rewrite ^/index\.php(/.*)$ /index.php?s=$1 last;
           break;
       }
   }
—————————————————————————————————
重启 LNMP   /root/lnmp restart
重启 MySQL   /etc/init.d/mysql restart
重启 PureFTPd   /root/pureftpd restart
查看 Nginx 版本   nginx -V
查看 MySQL 版本   mysql -V
查看 PNP 版本   php -v
查看 Apache 版本   httpd -v
查内存       cat /proc/meminfo
php.ini       vim /usr/local/php/etc/php.ini
iptables 路径   /etc/sysconfig/iptables
MySQL 配置文件   vim /etc/my.cnf
添加网站       /root/vhost.sh
添加ProFTPd用户   /root/proftpd_vhost.sh
—————————————————————————————————
遇到问题：
中文URL问题解决方案，FTP用强制UTF-8，单个文件传。否则在win下打包的zip在linux下解压后，编码不是utf-8，导致打开URL 404
能用记事本打开的文件若包含中文，应另存为 utf-8 编码。

ThinkPHP 项目修改配置文件后，必须删除 /index/Runtime/* 缓存文件！！！

xoyozo 11 年前

4,537

nginx 配置文件之 location

符号	规则	示例
`=`	精确匹配	`location = /a` 仅可以匹配 `/a` 这个 uri
不带任何修饰符	前缀匹配	`location /a` 可以匹配 `/a`、`/ab`、`/a/b` 等 uri
`~` 或 `~*`	正则匹配 `~` 是区分大小写 `~*` 是忽略大小写	`location ~ ^/a\d$` 可以匹配 `/a1`、`/a2` 等 `location ~ ^/a\d` 可以匹配 `/a1`、`/a1/b` 等 `location ~ /a\d` 可以匹配 `/b/a1` 等

如果有多个 location 块匹配同一个请求，Nginx 会优先选择精确匹配的块，其次是正则匹配，最后是前缀匹配。

~ 与 ~* 不分优先，视 location 位置先后来匹配。

xoyozo 8 年前

4,186

IIS 中用“URL 重写”实现图片文件防盗链

本文适用于 IIS 7, IIS 7.5, IIS 8, IIS 8.5, IIS 10 等 Web 服务器，IIS 6（Windows Server 2003）用户请查阅 ISAPI_Rewrite。

在 IIS 中要实现 URL 重写，需要下载并安装 URL Rewrite 组件，http://www.iis.net/downloads/microsoft/url-rewrite

在 IIS 管理器中选中任意网站，主窗口可见“URL 重写”，双击打开。（如果你想配置这台服务器的所有网站有效，直接选中左侧菜单中的服务器名，打开“URL 重写”即可。）

右侧“添加规则...”，选择“入站规则”中的“空白规则”，确定。

填写规则名称，在“匹配 URL”框中选择“与模式匹配”，根据自己的需求选择“正则表达式”、“通配符”或“完全匹配”，“模式”中填写要防盗链的文件路径规则，例如正则表达式 ^.*\.(jpg|png)$ 将匹配所有目录下的 .jpg 和 .png 文件。

接下来将设置图片在允许的域名下显示。

在“条件”框中选择“全部匹配”，点击“添加”，“条件输入”中填写“{HTTP_REFERER}”（不含引号，含花括号），表示判断 HTTP 请求中 Header 的 Referer。选择“与模式不匹配”，模式中填写匹配规则，如 ^$ 表示允许 Referer 为空（如直接从浏览器打开的情况），再加一个规则 ^https?://([^/]*\.)?(xoyozo.net|himiao.com)/.*$ 表示允许在 xoyozo.net 和 himiao.com 这两个域名下显示图片。当然如果你有很多域名或需要设置不同的规则，可以继续添加，但最好把访问量大的规则移到前面，从而减少系统匹配次数，提高访问效率。

最后，在“操作”框中设置你想要的处理方式，可以是“重定向”到一张防盗链提醒的图片上（推荐类型临时 307），也可以自定义响应，例如，状态代码（403），子代码（0），原因（Forbidden: Access is denied.），描述（You do not have permission to view this directory or page using the credentials that you supplied.），查看 HTTP 状态代码。

如果你是配置某个网站的“URL 重写”，那么在网站根目录下的 web.config 文件中，<system.webServer /> 节点下可以看到刚刚配置的规则，例如：

<rewrite>
  <rules>
    <rule name="RequestBlockingRule1" stopProcessing="true">
      <match url="^.*\.(jpg|png)$" />
      <conditions>
        <add input="{HTTP_REFERER}" pattern="^https?://([^/]*\.)?(xoyozo.net|himiao.com)/.*$" negate="true" />
        <add input="{HTTP_REFERER}" pattern="^$" negate="true" />
      </conditions>
      <action type="Redirect" url="http://42.96.165.253/logo2013.png" redirectType="Temporary" />
    </rule>
  </rules>
</rewrite>

xoyozo 9 年前

6,957

JS笔记之语法

－－－－－－－－－－－－－－－－－－－－
常量：
整型，实型，布尔值，字符串型，null，undefined

变量：var
－－－－－－－－－－－－－－－－－－－－
除法运算：9/4 = 2.25 （而不是2）

－－－－－－－－－－－－－－－－－－－－
系统函数：
1，encodeURI URL编码
   var urlStr=encodeURI("http://www.abc.com/?country=吴&name=z x");
   结果：http://www.abc.com/?country=%E5%90%B4&name=z%20x
2，decodeURI URL解码
3，parseInt 将字符串按指定进制转换成一个整数,参数二表示进制
   parseInt("32",10) 结果：32
   parseInt("3c2",10) 结果：3
   parseInt("c32",10) 结果：NaN
   parseInt("0x18",10) 结果：0
   parseInt("12",16) 结果18
4，parseFloat 将字符串转成小数
   parseFloat("2.5") 结果：2.5
   parseFloat("2.c5") 结果：2
   parseFloat("c2.5") 结果：NaN
5，isNaN 用于检测parseInt和parseFloat返回是否为NaN
   返回true/false
6，escape 编码
   非ASCII替换为%xx
7，unescape 解码
8，eval 将字符串作为JS表达式执行，例
   for(var i=0;i<3;i++) eval("var a"+i+"="+i);
   相当于：
   var a0=0; var a1=1; var a2=2;
－－－－－－－－－－－－－－－－－－－－
对象
1，Object
2，String
   方法：
   indexOf,
   lastIndexOf,
   match,使用正则表达式模式对字符串执行搜索，返回包含该搜索结果的数组
   replace,
   search,使用正则表达式搜索，第一个匹配的字符的位置
   slice,截字符串：参数一，开始位置，参数二，结束位置（不指定或为-1时表示末位置）
   split,返回一个字符串按照某种分隔标志符拆分为若干子字符串时所产生的字符串数组，分隔符可以是多个字符或一个正则表达式，它不作为任何数组元素的一部分返回。
   substr,截字符串：参数一，开始位置，参数二，长度
   toLowerCase,
   toUpperCase,
3，Math（不能用new创建）
   方法：
   abs,绝对值
   sin,cos,正余弦
   asin,acos,反正余弦
   random,返回介于0~1之间的伪随机数
   例：var num = Math.randow();
4，Date
    var currentTime=new Date();
    //var currentTime=new Date(2002,3,4);
    var strDate=currentTime.getYear()+"年";
    strDate+=currentTime.getMonth()+"月";
    strDate+=currentTime.getDate()+"日";
    strDate+=currentTime.getHours()+":";
    strDate+=currentTime.getMinutes()+":";
    strDate+=currentTime.getSeconds()+" ";
    strDate+=currentTime.getMilliseconds();
    alert(strDate);
   结果：2008年1月19日15:27:10 518
－－－－－－－－－－－－－－－－－－－－－－
数组
1，
    var arr=["abc",123,'abc',,3.4];
    for(var i=0;i<arr.length;i++)
    {
        alert(arr[i]);
    }
2，用对象的方式实现数组
    function MyArray(){this.length=arguments.length;for(var i=0;....
3，Array对象
    var arr=new Array(2.4,"abc",2);
    arr.sort(); //排序
    alert的结果为 2 2,4 abc
－－－－－－－－－－－－－－－－－－－－－－－