C语言漏洞最严重，PHP最易受攻击，程序员该怎么 - 语言研究杂志社投稿

一、稿件要求： 1、稿件内容应该是与某一计算机类具体产品紧密相关的新闻评论、购买体验、性能详析等文章。要求稿件论点中立，论述详实，能够对读者的购买起到指导作用。文章体裁不限，字数不限。 2、稿件建议采用纯文本格式(*.txt)。如果是文本文件，请注明插图位置。插图应清晰可辨，可保存为*.jpg、*.gif格式。如使用word等编辑的文本，建议不要将图片直接嵌在word文件中，而将插图另存，并注明插图位置。 3、如果用电子邮件投稿，最好压缩后发送。 4、请使用中文的标点符号。例如句号为。而不是.。 5、来稿请注明作者署名(真实姓名、笔名)、详细地址、邮编、联系电话、E-mail地址等，以便联系。 6、我们保留对稿件的增删权。 7、我们对有一稿多投、剽窃或抄袭行为者，将保留追究由此引起的法律、经济责任的权利。二、投稿方式： 1、请使用电子邮件方式投递稿件。 2、编译的稿件，请注明出处并附带原文。 3、请按稿件内容投递到相关编辑信箱三、稿件著作权： 1、投稿人保证其向我方所投之作品是其本人或与他人合作创作之成果，或对所投作品拥有合法的著作权，无第三人对其作品提出可成立之权利主张。 2、投稿人保证向我方所投之稿件，尚未在任何媒体上发表。 3、投稿人保证其作品不含有违反宪法、法律及损害社会公共利益之内容。 4、投稿人向我方所投之作品不得同时向第三方投送，即不允许一稿多投。若投稿人有违反该款约定的行为，则我方有权不向投稿人支付报酬。但我方在收到投稿人所投作品10日内未作出采用通知的除外。 5、投稿人授予我方享有作品专有使用权的方式包括但不限于：通过网络向公众传播、复制、摘编、表演、播放、展览、发行、摄制电影、电视、录像制品、录制录音制品、制作数字化制品、改编、翻译、注释、编辑，以及出版、许可其他媒体、网站及单位转载、摘编、播放、录制、翻译、注释、编辑、改编、摄制。 6、投稿人委托我方声明，未经我方许可，任何网站、媒体、组织不得转载、摘编其作品。

C语言漏洞最严重，PHP最易受攻击，程序员该怎么

作者:

关键词:

摘要：

论编程语言的安全性，作为历史最悠久的编程语言，C 仍然是开源漏洞最多的一个，但 PHP 的变化却最大，为什么 PHP 更容易受到攻击？

以下为译文：

开源漏洞又一次出现了增加的趋势。

自 2017 年以来，我们看到社区报告的开源漏洞数量迅速增加。过去的一年也不例外，WhiteSource 的《开源漏洞状况》报告发现，2019 年共计报告了 6,100 个漏洞，而 2018 年报告的漏洞为 4,100 个。

两年之间的上升率高达 50%本身就可以上头条了。该报告还分析了哪些语言的开源漏洞最多，每种语言最常见的漏洞是什么，以及这些结果对于软件开发社区如何构建应用程序的启示。

2019 年每种语言最严重的开源跨站脚本

在 2019 年发布的开源漏洞中，跨站脚本（Cross-site scripting，即 XSS）几乎是所有顶级编程语言中最常见的漏洞类型。

在上述编程语言中，最严重的是 C 语言出现的缓冲区错误（CWE-119），而带有输入验证不当（CWE-20）漏洞位居第二。

通过这些数据，我们可以看出与软件开发社区有关的常见问题。具体来讲，其中的许多漏洞都是由于开发人员没有适当限制用户可以执行的操作而造成的，也因此破坏了 Web 应用程序的安全性。

在大多数情况下，这些安全漏洞的原因都是编程不够严谨。这些漏洞表明，重视基本的编码标准对安全至关重要。

每种语言发布的开源漏洞比率

从整个报告来看，在过去的一年中，这些流行语言中开源安全漏洞的分布有所变化。

尽管 C 仍然是开源漏洞最多（占 30%）的语言，但这是因为 C 是最古老的语言之一，我们至今仍在使用一些非常受欢迎的开源项目。无论你喜欢还是讨厌 C 语言，无可否认，没有其他语言可以与 C 编写的大量代码竞争。

然而，令人不解的是 PHP 的变化最大，从 2009 年开源代码漏洞的 15%一路上升到 2019 年的 27%。我们不禁开始思考两个问题：首先，PHP 更容易受到攻击的原因是什么？其次，人们是否仍然真的在使用 PHP？

根据 2019 年 9 月的 TIOBE 指数报告，PHP 因其易用性而广受软件开发技术力有限的 Web 设计师的欢迎，因此 PHP 变得越来越流行。该语言似乎用其易用性交换了安全性，而如今社区越来越擅长发现漏洞，因此这种折中方案很快就会成问题。

WordPress 等流行的应用程序仍在使用 PHP，但是这些应用程序的流行度也会很快下降。也就是说，趋势表明，PHP 的使用正在下降，如今开发人员倾向于使用更流行的语言，例如 Python，在过去的几年中，该语言一直位居榜首，而且 Python 语言的漏洞发生率一直保持在较低水平。

成千上万的人都在聚焦开源的安全性

第三个问题是为什么我们如今会看到 PHP 的漏洞增加。尽管我所说的答案没有经过验证，但是我们可以从某种角度看待开源和应用程序开发的趋势。

随着更多开源代码的问世，开源社区也受到了越来越多人的注目。我们还会考虑通过增加自动化工具的使用来帮忙发现更多漏洞，因此被发现、修复和发布的 bug 也越来越多。由于通过 GitHub Security Lab 直接报告开源安全漏洞非常便利，因此已发布的漏洞数量将持续增加，尤其是拥有大量代码库但以前可能没有受到严格审查的语言。

由于 WordPress 和 Drupal 等开源项目中大量使用了 PHP，因此还有很多 PHP 项目正在使用中。研究人员正在审查这些项目，而且他们发现了代码中可能一直存在尚未报告的漏洞。

前进的方向是更好的编程实践

本质上，安全漏洞就是一些 bug，它们可能会导致应用程序及其数据遭受破坏。当编程错误威胁到数据的可访问性、完整性或机密性时，就属于安全漏洞领域。在大多数情况下，这些漏洞只是一些人为错误。只要人类继续编写代码，错误就会发生，漏洞也会出现在我们的项目中。

因此，我们的问题是如何管理所使用软件中的漏洞。首先，最重要的是我们需要遵循最佳实践来进行安全编程。虽然批评某人的代码不够严谨很简单，但只有批评还不够，我们还需要提升自我。

除了遵循编程的最佳实践外，我们还需要检查代码中的漏洞，而不仅仅是在部署之前。在依赖项之上构建了核心应用程序，却发现其中存在一些严重的漏洞，这是一件十分痛苦的事情，你不得不含泪默默地重新编写这部分代码。如果你了解软件开发生命周期各个阶段测试错误的重要性，那么就应该明白检查可能将你和用户置于危险之中的安全漏洞同样重要。

文章来源：《语言研究》网址: http://www.yyyjzzs.cn/zonghexinwen/2020/1111/560.html