leakon

尽管我下面要讲述的情景并不会经常出现，但后果却是很严重，希望引起Google的注意，同时也希望能提醒提供类似功能的其他公司！ 我注册了Google的帐号，有了一个GMail邮箱，他很好用，而且我每天都要登录我的邮箱收发信件。 正是由于使用频繁，我在登录的时候，选中了“在此计算机上保存我的信息”，免去了每次登录都要输入密码的麻烦。 我在家，在公司，在我的笔记本上，三处地方，都应用了这种设置，所以我在这三台电脑上打开http://mail.google.com的时候，都是直接进入邮箱。 如果，我因为某事，不再继续为这家公司工作了，而我临走时忘记清空浏览器的cookie，那么，这个公司的网管，就可以登录我的系统，查看我遗留的各种文档。 当他再次打开http://mail.google.com的时候，直接进入了我的邮箱！！！ 这是一个非常严重的问题。 我曾经想过补救，我认为这方法应该有效，但Google没有这样做： 我在家里的电脑上登录GMail，更改我的密码，然后退出登录，当我再次登录时，需要输入新的密码。这个过程没问题。 但我用我的笔记本，在浏览器上打开http://mail.google.com，依然可以访问。 这就是问题的根源！！！ 这个时候，那家公司的网管，是可以访问我的邮箱的，因为Google没有对密码做数字签名！这是问题的关键！也是我这篇文章的核心内容！ 在Web安全方面，Google应该有很深的经验了。 利用cookie记录登录状态，避免每次输入密码，是很好的设计，很人性化。 唯一的缺点，就是没有提供给用户一个既安全又方便的途径来取消这一遍历登录方式。 […]

为了适应不同的服务器设置，首先判断是否打开了 magic_quotes，如果打开了，在开始的地方就全部过滤。 后面程序统一默认为 magic_quotes 已关闭，避免了多次转义的问题。 一行代码的函数，两点需要注意，一个是递归调用，另一个是传递回调函数的方法，可以引用一个类的静态方法。 实现过程，比较优雅，不是吗？

PHP的header可以输出http头部信息，前提是，在header之前不能输出任何内容，因为所有的内容都作为http的body输出给客户端了，一旦有body的内容，就不可能再添加任何head部分的信息。 header函数的一个常用的方式就是用来做转向，redirect。 比如，我需要转到某个地址，只要执行下述代码： 浏览器会收到一个302的http状态码，告诉他这个内容已经被转移了。 重要的是，php会在调用header函数后，继续执行后面的代码，你可以用我的代码亲自试验一下： 肯定会执行到fwrite函数的，打开header.txt文件，检查时间！ 对此，解决的办法是，要在每一个header函数后面加上exit，保证当前页面停止执行，进而转向location指定的地址。 为了避免到处都是exit，可以写一个专门用作转向的函数，比如： 另，为了避免在header之前输出body的内容，许多php框架都采用了php页面尾部不写?>的方式，因为有些人总习惯在?>后面添加一个换行，这真的是个不好的习惯。