PHP安全编码规范不可忽略

录

1、安全编码的基本原则
1.1 所有输入数据都是有害的
1.2 不依赖运行环境的安全配置
1.3 安全控制措施落实在最后执行阶段
1.4 最小化
1.5 失败终止
二、常见漏洞安全编码
2.1 低版本框架、库漏洞
2.2 Command Injection
2.3 SQL Injection
2.4 XSS
2.5 CSRF
2.6 URL Redirect
2.7 路径可控
2.8 Code Injection
2.9 Xpath Injection
2.10 资源泄露
2.11 XXE
2.12 SSRF
2.13 敏感信息泄露
2.14 越权漏洞
2.15 MongoDB Injection
2.16 弱类型漏洞
2.17 任意文件上传
2.18 本地文件包含
2.19 并发问题
2.20 WebSocket跨站劫持

1、安全编码基本原则

1.1 所有输入数据都是有害的

直接输入数据：

对于用户通过 GET, POST, COOKIE, REQUEST等输入的数据以及框架提供的数据来源，即通信协议中从客户端传过来的一切变量，无论是用户手动填写的数据或是客户端浏览器或操作系统自动填写的数据，都可能产生安全问题，需要进行严格的安全性检查。

间接地输入数据：

从数据库、文件、网络、内部API获取的数据等，即一些不直接来源于用户，但是又不是程序中定义好的常量数据。比如用户的输入经过层层转化输出到数据库或文件，后面又再次利用的时候，这时获得的数据依然是不可信的，同样需要进行严格的安全性检查。

1.2 不依赖运行环境的安全配置

不能寄希望于配置文件的安全选项，必须将程序置身于最不安全的配置下进行考虑。

1.3 安全控制措施落实在最后执行阶段

每个安全问题都有其产生的原因,例如SQL注入的原因是SQL语句参数拼接。因此对SQL注入问题的防范，需要在SQL语句执行前对参数进行安全处理，因为此时才能确定预期的参数数据类型、数据范围等。

1.4 最小化

最小化原则适用于所有与安全相关的领域，在代码安全方面主要表现为：

1、用户输入最小化。尽可能少地使用用户的输入。

2、用户输入范围最小化。过滤参数时应使用白名单策略，对于可明确定义范围的参数检查参数的有效性，譬如Email，卡号，身份证号等。

3、返回信息最小化。程序错误信息应对用户屏蔽，不要将原始错误信息直接返回到用户侧。

1.5 失败终止

对用户提交的数据进行安全性检查的时候，如果发现数据不符合要求应终止业务的执行，不要试图修正和转换用户提交的参数继续向下执行。

二、常见漏洞安全编码

2.1 低版本框架、库漏洞

安全方法： 此类安全问题应使用稳定的高版本框架、库进行开发。

2.2 Command Injection

安全方法： 无法规避此类功能时，应使用白名单控制：

if(isset($_POST["target"]))
{
$target=$_POST["target"];
switch ($target) {
case "www.protect.domain": echo "" . shell_exec("nslookup www.protect.domain") . "";
break;
case "web.protect.domain": echo "" . shell_exec("nslookup web.protect.domain") . "";
break;
...
default: echo "" . shell_exec("nslookup www.protect.domain") . "";
}
}

2.3 SQL Injection

安全方法：

注意： 不论项目是否使用了框架，涉及到的表名、字段名用户可控时，均应先使用白名单对此类数据进行处理:

switch ($order){
case "id": $order="id";
break;
case "name":$order="name";
break;
default :$order="id";
}

a、未使用框架时，可使用安全SDK项目提供的安全方法：

//查询
$result=$this->db->select()->from("table_name")->where("id","=",$id)->execute()->fetchAll();
//删除
$result=$this->db->delete()->from("table_name")->where("name","like","%".$name."%")->execute();
//插入
$result=$this->db->insert(array("name","age"))->into("table_name")->values(array($name,$age))->execute();
//更新
$result=$this->db->update(array("name"=> $name))->table("table_name")->where("id", "=", $id)->execute();

b、使用Yii、laravel、CodeIgniter框架时，可使用框架自带的数据库访问方法。

Yii 2.0

//查询
Users::find()->where(["id"=>$id])->orderBy("name")->select("id,name")->one();
//插入
$user=new Users();
$user->age=$age;
$user->name=$name;
$user->save();
//单条更新
$use=Users::find()->where(["id"=>$id])->orderBy("name")->select("id,name")->one();
$use->name=$name;
$use->save();
//多条更新
$result=Users::find()->where([">","id",$id])->orderBy("name")->select("id,name")->all();
foreach ($result as $item){
$item->name=$name;
$item->save();
}
//删除
Users::deleteAll(["id"=>$id]);

Laravel

//查询
DB::table("table_name")->where("id",$id)->orderBy("id")->get();
//插入
DB::table("table_name")->insert(["name"=> $name, "age"=> $age]);
//更新
DB::table("table_name")->where("id", $id)->update(["name"=> $name]);
//删除
DB::table("table_name")->where("age", $age)->delete();

CodeIgniter

//查询
$result=$this->db->select("*")->from("table_name")->where("userid", $userid)->order_by("id")->get();
//插入
$this->db->insert("table_name", array("title"=> $title, "userid"=> $userid));
//更新
$this->db->where("id",$id)->update("table_name", array("name"=> $title, "age"=> $age));
//删除
$this->db->where("id", $id)->delete("table_name");

2.4 XSS

安全方法：

a、用户可控数据不需存储直接响应的，应编码输出。

// html实体编码输出
$this->securityUtil->encodeForHTML($data);
// javascript编码输出
$this->securityUtil->encodeForJavaScript($data)

b、用户可控数据需存储展示或用于其他系统展示的，应过滤危险字符。

$this->securityUtil->purifier($_GET["data"]);

注意： 输入过滤会改变用户输入。应结合具体业务场景搭配使用输入过滤、输出编码。

2.5 CSRF

安全方法：

前端应从cookie中获取在认证通过后植入的csrf_token，并以POST方式提交包含csrf_token值的请求，前端代码如下：

function getCookie() {
var value="; " + document.cookie;
var parts=value.split("; csrf_token=");
if (parts.length==2)
return parts.pop().split(";").shift();
}
$.ajax({
type: "post",
url: "/xxxx",
data: {csrf_token:getCookie()},
dataType: "json",
success: function (data) {
if (data.ec==200) {
//do something
}
}
});

后端应从POST请求体中提取csrf_token参数值，进行校验，代码如下：

if(!$this->securityUtil->verifyCSRFToken()){
return ; //csrf token 校验失败
}
// 开始处理业务逻辑
注意: 受csrf_token生成方式影响，当存在XSS时，会导致全局CSRF防护措施失效。

2.6 URL Redirect

安全方法： 此类安全问题服务端应根据具体的业务需求防止不安全的重定向：

a、如果跳转后的链接比较少且比较固定，那么可以在服务端对参数进行白名单限制，非白名单里面的URL禁止跳转。

$index=intval($_GET["index"]);
switch($index){
case 1: $url="https://www.protect.domain/";
break;
case 2: $url="https://web.protect.domain/";
break;
...
default: $url="https://web.protect.domain/";
}
header("Location:".$url);
当链接比较多时，可根据索引从数据库检索。

b、如仅希望在当前域跳转，或因业务需要，跳转的链接经常变化且比较多，应做个二次确认页，对非当前域的链接，提示用户将跳转到其他网站：

$white=[".protect.domain"];
//校验是否为信任域
if(!$this->securityUtil->verifyRedirectUrl($url,$white)){
// 非信任域名，提供二次确认页
}
// 开始处理业务逻辑

2.7 路径可控

安全方法： 无法规避外界指定路径时，应使用白名单处理：

$directory=$_GET["directory"];
switch ($directory) {
// $directory重新赋值
case "./image":$directory="./image";
break;
case "./page":$directory="./page";
break;
...
default:$directory="./image";
}
while($line=readdir($directory))
{
//do something
}

2.8 Code Injection

安全方法： 无法规避此类功能时，应精确匹配用户的提交数据：

$name=strval($_POST["name"]);
$regex="/^[a-zA-Z0-9]{3,20}$/";
if(preg_match($regex,$name,$matches) && $matches[0]===$name)
{
eval ("echo '" . $name . "';");
}

2.9 Xpath Injection

安全方法： 此类安全问题应精确匹配用户输入：

if(isset($_POST["login"]) && $_POST["login"]){
if(isset($_POST["password"]) && $_POST["password"]){
$login=strval($_POST["login"]);
$password=strval($_POST["password"]);
$xml=simplexml_load_file("./heroes.xml");
$regex="/^[a-zA-Z0-9]{3,20}$/";
if(preg_match($regex,$login,$match_login) && $match_login[0]===$login){
if(preg_match($regex,$password,$match_password) && $match_password[0]===$password){
$result=$xml->xpath("/heroes/hero[login='" . $login . "' and password='" . $password . "' ]");
//业务逻辑
}
}
}
}

2.10 资源泄露

安全方法： 此类安全问题应在相关操作完成后释放资源：

$file=fopen("file.txt", "w") or die("Unable to open file!");
...
//关闭由fopen()函数打开的文件
fclose($file);

2.11 XXE

安全方法： 此类安全问题应在解析XML数据时显式禁止加载外部实体：

//禁止加载外部实体
libxml_disable_entity_loader(true);
//解析xml数据
$xml=simplexml_load_string($data);

2.12 SSRF

安全方法： 应校验传入ip地址是否为内部ip：

if (!$this->securityUtil->verifySSRFURL($url)) {
return ; //内部ip
}
//开始处理业务逻辑

2.13 敏感信息泄露

安全方法： 此类安全问题应在代码上线之前删除注释信息（特别是敏感信息）,合理设置忽略文件:

a、gitlab/github

根据目录新建文档 .gitignore，内容可参考.gitignore

b、SVN

新建文档.svnignore，内容可参考.gitignore,执行：

svn propset svn:ignore -R -F .svnignore .

注意： 当使用add的时候，禁止使用：

svn add *

这样会把忽略中的文件也添加到仓库。应使如下命令：

svn add --force .

2.14 越权漏洞

安全方法： 涉及到用户数据的增删改查，应校验数据归属：

$articleId=$_GET["articleId"];
//用户登录状态下，从session取出用户唯一标识userid
$userId=session("userId");
...
//关联用户信息执行数据库操作
$stmt=$db->prepare("UPDATE articles SET del_flag=1 WHERE articleId=? AND userId=?");
$stmt->bind_param("ss",$articleId, $userid);
$stmt->execute();
2.15 MongoDB Injection

安全方法：

涉及到MongoDB的操作，应禁用execute方法，校验数据类型：

$appId=$this->request->post("appId");
$num=$this->request->post("num");
...
//校验数据类型
if(!is_array($appId)&&!is_array($num))
{
$criteria=["appId"=> $appId, "num"=> $num];
$ret=$this->mongodb->findOne($criteria);
}

预期数据类型明确的(如商品数量),应在接收用户提交数据时直接强制数据类型转换，避免因校验不严谨可能带来的其他问题。

2.16 弱类型漏洞

安全方法：

注意:

a、涉及多字符串拼接进行md5运算时，应在各拼接字符串之间添加分隔符：

//避免md5("1234"."14"."234")===md5("1234"."1"."4234")
md5($secret . "|" . $uid . "|" . $code);

b、涉及到函数返回结果既可能是布尔值（FALSE)，也可能是等同于布尔值(FALSE)的非布尔值且返回结果用于判断时，需显式判断执行结果

以内置函数strpos为例：

int strpos ( string $haystack , mixed $needle [, int $offset=0 ] )

该函数：

1）返回$needle在$haystack中首次出现的数字位置；

2）未找到时返回布尔值FALSE；

3）当$needle在$haystack起始位置出现时，会返回0.

则安全编码应为：

$domain="https://www.protect.domain";
//禁止 if(!strpos($domain,"https")) 或 if(strpos($domain,"https")!=false)的方式
if(strpos($domain,"https")!==false){
//处理业务逻辑
}

此类安全问题应使用===代替==, !==代替 !=。

if (isset($_GET["id"]) && isset($_GET["userId"])) {
$id=strval($_GET["id"]);
$userId=strval($_GET["userId"]);
//防止出现 md5("240610708")==md5("QNKCDZO")
if (md5($id) !==md5($userId)) {
return ;
}
//业务逻辑
}

2.17 任意文件上传

安全方法： 此类安全问题应校验上传文件大小、后缀、类型等是否符合要求：

$config=array('limit'=>5 * 1024 * 1024, //允许上传的文件最大大小
'type'=>array( //允许的上传文件后缀及MIME
"gif"=>"image/gif",
"jpg"=>"image/jpeg",
"png"=>"image/png")
);
$file=$_FILES["file"];
$data=$this->securityUtil->verifyUploadFile($file, $config);
if($data['flag']!==true){
return; //上传失败
}
//生成新的文件名拼接$data['ext']上传到文件服务器

2.18 本地文件包含

安全方法： 无法规避外界指定文件名时，应使用白名单处理：

$filename=$_GET["filename"];
switch ($filename) {
case "lfi.txt":include("./lfi.txt");
break;
...
default:include("./notexists.txt");
}

2.19 并发问题

安全方法：

php+mysql(InnoDB、REPEATABLE-READ)

此类安全问题在已使用事务的前提下，应使用悲观锁或乐观锁解决：

悲观锁：

mysqli_query($conn, "BEGIN");
$rs=mysqli_query($conn, "SELECT num FROM oversold WHERE id=1 FOR UPDATE "); //for UPDATE
$row=mysqli_fetch_array($rs);
$num=$row[0];
if($num>0)
{
//do something
mysqli_query($conn, "UPDATE oversold SET num=num - 1 WHERE id=1");
}
if(mysqli_errno($conn)) {
mysqli_query($conn, "ROLLBACK");
} else {
mysqli_query($conn, "COMMIT");
}
mysqli_close($conn);
SELECT … FOR UPDATE加悲观锁，保证总是获取最新的数据,适合写入频繁的场景.

乐观锁：

需使用一个新的字段version保存版本号：

mysqli_query($conn, "BEGIN");
$result=mysqli_query($conn, "SELECT num,version FROM oversold WHERE id=1 ");
$row=mysqli_fetch_array($result);
$num=$row[0];
$version=$row[1];
if($num>0)
{
//do something
$stmt=$conn->prepare("UPDATE oversold SET num=num - 1,version=version+1 WHERE id=1 AND version=? ");
$stmt->bind_param("i",$version);
$stmt->execute();
}
if(mysqli_errno($conn)) {
mysqli_query($conn, "ROLLBACK");
} else {
mysqli_query($conn, "COMMIT");
}
mysqli_close($conn);

乐观锁比较适合数据修改比较少，读取比较频繁的场景。

注意: 悲观锁会带来比较大的性能开销，而乐观锁可能会读取到脏数据，具体采用哪种加锁方式可根据具体业务场景确定。

php+redis

当redis版本不小于2.6.12时，应使用set指令限流避免并发问题。set指定用法如下：

redis > SET KEY VALUE [EX seconds] [PX milliseconds] [NX|XX]
● EX seconds - 设置指定的过期时间，单位为秒。
● PX milliseconds - 设置指定的过期时间，单位为毫秒。
● NX - 仅当KEY不存在时，设置KEY的值为VALUE。
● XX - 仅当KEY存在时，设置KEY的值为VALUE。

代码示例：

$res=$redis->set($key, $value, ["nx", "px"=>$ps]);
if(!$res){
throw new Exception("操作太快了，请稍后再试！");
}

//开始处理业务逻辑

以上代码，在$ps毫秒内，对指定的$key，仅允许执行一次业务逻辑。

注意： 涉及到的key应结合具体业务场景注意key过期时间的设置，防止key的膨胀。

2.20 WebSocket跨站劫持

安全方法： 此类安全问题服务端应校验Origin头：

2大类206个副业兼职赚钱APP送给你，根据你自身特长和爱好挑选适合你自己的副业！

下面内容我花了3天的时间整理，汇总了全网最全的206个副业兼职赚钱APP，可以说囊括了绝大部分的可能性，每天多赚一些零花钱轻轻松松。

墙裂建议先双击再细看！！！

体力类

如果你想靠自己的体力来获取酬金，你就是属于体力类，比如跑腿、送外卖、送快递、搬砖等等。

劳动最光荣，无谓体力还是智力，凭本事挣钱，没什么不好意思的。

只要愿意干，就会有收入。

1.UU跑腿：https://www.uupt.com/Driver.htm

2.点我达骑手：https://www.dianwoda.com/rider.html

3.达达骑士：https://www.imdada.cn/transporter/

4.爱跑腿：https://www.ipaotui.com/index.php?m=Home&c=IndexFourth&a=runner

5.人人快送：http://www.rrkd.cn/

6.美团跑腿：http://i.meituan.com/peisong/

7.微差事：http://www.weichaishi.com/customer.php

8.蜂鸟众包：https://fengniao.ele.me/delivery.html 《手把手教你使用蜂鸟众包：https://jingyan.baidu.com/article/b2c186c8b88ccc846ff6ff1c.html》

拍照类

这和体力类类似，主要是拍一些门店或街道，完成任务后获得平台的奖励。

9.百度地图淘金：http://taojin.baidu.com/

10.高德地图淘金：https://gxd.amap.com/

11.美团拍店

12.企鹅汇图

问卷调查类

通过回答问卷，获得积分，积分可以兑换现金和礼品。操作简单门槛低，手机即可操作，特别适合新手小白去操作。

13.投吧：https://www.votebar.com/

14.集思网：https://www.opinionworld.cn/zh-cn

15.调研吧：http://www.diaoyanba.com/

16.第一调查网：https://www.1diaocha.com/

17.YouGov：https://china.yougov.com/zh/

18.易调网：http://www.yidiao.net/

19.爱调查：http://www.52survey.com/

任务类

任务类，顾名思义，任务比较简单，难度系数低，适合新手小白，但和问卷调查一样，收益有限，略高于问卷类，奶茶自由可实现。

做任务类的副业比较简单，没什么难度，也适合所有人，不过收益也有限，每天能赚个几十块钱。

20.龙猫众包：http://renwu.longmaosoft.com/task/team

21.百川任务：http://www.baichuanweb.com/

《百川任务平台的任务怎么做教程：https://jingyan.baidu.com/article/fec4bce28499c2f2618d8b9a.html》

22.腾讯搜活帮：https://soho.qq.com/tasks

23.有道众包：http://zb.youdao.com/list.html

《如何利用有道众包赚钱教程：https://jingyan.baidu.com/article/7082dc1cd9989fe40a89bd3a.html》

24.百度众测：http://test.baidu.com/mark/task/index

《百度众测操作教程教程：https://jingyan.baidu.com/article/456c463bb65fe24a583144ce.html》

教你玩转百度众测

25.阿里众包：https://newjob.taobao.com/ 《如何利用阿里众包赚钱教程：https://jingyan.baidu.com/article/e5c39bf5713c5979d760338b.html》

26.京东微工：http://weigong.jd.com

《怎么在京东微工做兼职教程：https://jingyan.baidu.com/article/ab69b2701705966ca6189f57.html》

推广类

这个副业是推荐商品赚取佣金，最高返佣可以达到54%。也就是说一个单价100的商品，通过你的推广买家购买后，你能获得54元的佣金。

就像我们平时在知乎上见到的，捡漏群，一元秒杀群都是属于推广类。

27.淘宝联盟https://pub.alimama.com/

28.京东联盟https://union.jd.com/index

29.多多进宝https://jinbao.pinduoduo.com/

30.知乎好物

我们平时在知乎写问答，可以带上商品链接，有人拍下商品我们就能赚1%-50%的商品佣金。一般爆了一个回答，你在往后很长一段日子里都能拿到不错的佣金。

程序技术类

程序技术类比较适合会程序设计方面的新手，有些小伙伴可能之前只是自己埋头苦练功法，从未思考过利用自己的电脑技术进行副业赚钱。可以去学院当老师，或者接单赚外快。

31.微擎：https://dev.w7.cc

32.CSDN学院：https://edu.csdn.net/apply

33.云沃客：https://www.clouderwork.com/guide/freelancer

34.51CTO学院：https://edu.51cto.com/lecturer/lectopics?edunav

35.程序员客栈：https://www.proginn.com/job/?from=top_nav

36.码市众包：https://www.codemart.com/

37.解放号：https://www.jfh.com/jfportal/market/index

38.互站网：https://task.huzhan.com

39.码易众包：https://www.mayigeek.com/tab/taskList?type=&price=&bidEnd=

40.开源中国众包：https://zb.oschina.net/services/excellent-dev.html

41.麦子学院：http://www.maiziedu.com/login.html

42.猿急送：https://www.yuanjisong.com/job

摄影类

摄影，是卖自己拍的图片赚钱，这个需要懂一些专业技术。如果你正好对摄影感兴趣，那是最好不过的了。

43.fotor：https://www.fotor.com.cn/

44.picpas：http://www.picpas.com/

45.中国图库：https://www.tukuchina.cn/

46.锐景创意：https://www.originoo.com/

47.视觉中国：https://www.vcg.com/

48.美好景象：http://www.viewstock.com/

49.全景图片：https://www.vcg.com/

50.汇图：http://www.huitu.com/

51.壹图：https://www.1tu.com/

52.东方IC：https://www.icphoto.cn/

53.海洛创意：https://www.hellorf.com/

摄影师一个不错的兼职，现在写文案以及做设计都需要用到图片，你的作品质量好，还会有商家专门找你拍摄照片，也会有公司设计需要用到你的照片，会需要你的图片版权。

一套图，赚个几百块肯定没问题，技术够硬的话，客户还会推荐客户，一月赚个几百几千的收入，轻松不费力气。

电商类

依靠平台赚钱，可以面向更多用户。电商类副业相对于线下实体试错成本更小

54.微店

55.淘宝

56.天猫

57.京东

58.抖音小店

59.拼多多

60.闲鱼

61.转转

62.跨境电商

63.亚马逊

64.ebay

电商就是卖货的，百货对百人。

向一些大类目，女装、鞋包竞争非常大。我们普通人想做电商，就要去探索小众刚需蓝海产品，在红海市场找蓝海，产品细分才是我们脱颖而出的机会。

翻译类

翻译就是通过自己的英语水平，利用自己的翻译能力去换取一定的翻译酬金。

会一门语言不仅能在职场加分，还能为我们带来更多可能性！现在很多翻译平台都有在招兼职翻译。

65.人人译：http://www.renrenyee.com/

短任务类型，一般都是几分钟的，有手机端软件，实现奶茶自由还是挺不错的。

66.有道人工翻译https://f.youdao.com/joinus/

以英语翻译居多，中译英和英译中收入不一样，工作时间有一定规定，适合学生。

看清楚是有道人工翻译，不是有道云翻译，只有有道人工翻译在招兼职。

67.做到网https://www.zuodao.com/crowdsourcing/homePage.html

比较适合新手翻译，在翻译过程中，会有上下文和参考译法作为辅助，比较人性化。不过入住需要测试。

68.我译网 https://www.wiitrans.com/translator

平台收取中介费不高，且任务的单价比较高，也是需要测试。

69.Gengo：https://gengo.com/translators/

同样需要测试，根据测试成绩分为标准译员和专业译员，翻译内容一般都是短文本。根据官网数据显示翻译平均每月能挣4美元。

70.译喵网

71.金译通网

72.语富网app

73.译客

74.快译网

75.语翼-译员端

76.Trycan

77.Fiverr

78.Fiberead

翻译任务相对都会轻松简单，不仅可以锻炼自己的外语水平，工作时间十分灵活，学习与赚钱同步进行。

它的收益有千字50，也有千字200-300的，各平台不一致，佣金一般不高但可以积少成多。

音频类

利用自己的声音开始副业，声音比较好的小伙伴比较适合，很多平台都有入住入口。比如配音、电台主播、有声小说。

79.豆瓣-配音小组

80.网易云音乐平台

81.配音秀

82.中国配音网

83.配音圈

84.企鹅FM

85.荔枝FM

86.音频

87.喜马拉雅FM

88.懒人听书

在这上边就可以看到各种各样的配音任务和兼职了，通过在一些APP上给视频、文章、小说、配音赚取稿费。

你要做的就是念稿子配音，需要普通话标准，把对方给你的稿件完整念完就可以了。

字数不会很多，每篇几百字而已。一条录音的价格在5-10元之间，熟练后做一单十分钟左右，这种录音赚钱的平台有很多，所以不用愁接不到单子。

外卖cps类

外卖大家经常点，但很多人不知道，推广外卖也能赚佣金。外卖CPS已经火了一段时间了，很多商家都在做。点外卖已经成了刚需，对用户来说，领取红包下单能省不少钱，为什么不呢？偶尔还能领到大红包，比如20-18。

对推广者来说，一单能赚3~15。一个人可以给你带来多次收入，有不少人专门做了个公号，不仅把粉丝聚集起来了，每天躺赚几百几千的简直不要太香。

大家应该见过不少这种类似的吧！

89.饿了么外卖赏金

90.美团

短视频类

短视频的优势在于赚钱的机会特别多，也是未来的一种趋势。任何生意拿到短视频，都可以再做一遍。

变现方式也很多，可以直播带货变现，直播娱乐变现，短视频引流变现，广告变现等。

91.虎牙

92.微信视频号

93.抖音

94.全民小视频

95.腾讯微视

96.斗鱼

97.快手

98.B站

99.小红书

100.知乎

现在很多平台都在大力扶持短视频，包括知乎也推出了视频功能，鼓励创作者往视频方向发展，未来这一趋势会更加明显。

做好短视频除了内容质量优质，还和运气有点关系，我们要做的是坚持创作，等待1%的运气降临。

做短视频和做自媒体一样，前期特别难熬，因为坚持的过程是非常枯燥的，前期别说赚钱了，可能都不会有人点赞。

（（比如我的这篇花了一周时间总结的又臭又长的回答，万一没人点赞，我真的要哭晕在厕所）其实这也就是为什么很多人放弃的原因。短视频这条路不拥挤，看的是谁更加努力、更熬得住寂寞）

编程类

编程类的优秀人才很稀缺，一般工资都很高，编程学会了不仅能有高工资，作为副业也是很有价值的。

学编程同学的可以尝试通过这些平台接兼职赚外快。要注意急单不要接，具体需求不清不楚的不接。没预付的不接。

101.微擎

102.程序员客栈

103.开源众包

104.码易

105.云沃客

106.猿急送

107.解放号

108.码市

109.互站网

每个平台都有自己的特点，大家可以每个都试试，选择最适合自己的来兼职。最后切记没有金刚钻，不揽瓷器活。

驾驶类

驾驶类可细分两大类：

代驾类

陪练类

这两大类的市场都不小，

驾驶类是很多人下班后会选择增加收入的途径，有的人晚上在外面吃饭喝了酒没办法开车，就会选择叫代驾，很多餐饮酒店在前台都会放置代驾的名片，方便客人选择

110.滴滴代驾

111.e代驾

112.安师傅代驾

113.斑马代驾

汽车陪驾在欧美是事实必备项目，国内没有普及，其实陪驾是唯一能教你学会开车的方式。很多人除了去陪练APP找陪练，还有去淘宝、闲鱼找陪练的。

114.58陪练

115.陪练车

116.驾校一点通陪练

设计类

就是你恰好会PS、CAD、3dmax、AI、AE等设计类软件上有一定的基础和造诣，利用自己的设计作品或签约设计平台来进行副业赚钱。其中包括设计logo、表情包

117.FOTOR

118.云琥在线

119.阿里巴巴矢量图标库

120.开三云匠网

121.扁平图标

122.包图网

123.小米主题商店

124.视觉中国

125.千图网

126.昵图网

127.东方IC

128.中国图库

129.图虫

130.汇图网

131.觅元素

132.花瓣网

133.微信表情开放平台

134.摄图网

135.猪八戒

136.picpas

137.海洛创意

如果你是设计师或者作图爱好者那就不要错过了，作品上传上去后有需要的用户会付费下载。这个重点是是长期积累的，当你的作品积累到一定数量，后面就能躺赚了。

PS：淘宝上代做PPT；企业视频介绍，婚礼视频，店铺招牌设计，单页，LOGO设计，设计动画图像等销量都很好，且大部分可以用软件模板，Ai完成，两三分钟一个图或视频。

PPT设计类

ppt在设计软件中算是最好学的了，并且市场特别大，不管是工作还是学习都离不开PPT。

变现方式也多样化，我们可以将自己设计的模板上传到网站上获得收益。

138.演界网

139.变色龙

140.脚步网

141.咸鱼

142.pptstore

143.稻壳儿网

除了这些网站，也可以直接带上几份作品找淘宝店家谈兼职合作，一般都会有外包。

制作PPT的服务费也不便宜，最少10元一张ppt，20张就是两百块了。

不论现在还是以后，做PPT都是极具性价比的一个技能，做PPT也不是什么难事。

如果你还不会做PPT，也可以找课程学习，边做边学，学习一两周就可以上手了，早点学会用来赚点零花钱。

知识付费

知识付费随着大家的付费意识提升，这个市场也是越来越大的，一份时间可以创作多份收益，属于前期辛苦、后期躺赚的副业类型。

如果你在某个细分领域有一定的专业性，可以尝试做自己的个人IP，通过分享自己的课程来赚取一定的副业收入。

开课收徒吧老师们

144.千聊

145.唯库

146.淘宝教育

147.荔枝微课

148.知乎live

149.腾讯课堂

150.小鹅通

151.网易云课堂

152.知识星球

在以上平台，注册成为讲师，上传讲课视频就可以赚钱，好多人不知道讲什么。

讲word操作、讲ppt制作、讲职场经验、讲管理这些都可以，或者是分享你擅长的领域，录制成为课程都可以。

手工类

这类副业虽然比较小众，但喜欢手工的人一般都愿意花高价去购买。从事手工副业一般都是从兴趣出发，没有兴趣很难支撑你去花时间做出不错的手工。

153.涂鸦王国

154.dribble

155.闲鱼

在闲鱼上手工粉非常多，是个特别棒的平台。同时我们在制作过程中，把制作过程和制作方法经验通过短视频去分享出去，这样也能吸引别人过来购买。

文档类

文档类是靠上传原创资源赚钱。上传资料到文档，别人下载就能赚取收益。文档类需要时间积累，量变引起质变，时间长了能有睡后收入。

156.豆丁文库

157.百度经验

158.道客巴巴

159.百度文库

160.360doc个人图书馆

以上网站可以上传你的原创内容供人下载，根据内容的质量设置不同的价格。

用过付费下载的都应该知道，很多资料的质量其实很一般，但是由于急需并且只能预览前几页，付费的人还是挺多的。

一般几块到几十块的比较多。你在学习中整理的文档、论文、PPT都可以上传。收益=付费下载量*单价。

问答类

通过回答问题来换取平台收入或打造个人IP。

161.百度知道合伙人

162.悟空问答

163.知乎

164.在行

165.360问答

投稿写作类

不要高估写作的难度，也不要低估写作的市场。

大到杂志出版社，小说专业文献。小到知乎问答，公众号文章朋友圈文案。

都有着不少的机会需求。

投稿写作类有三种：

网络小说写作

写手类网站

拆书稿、主播素材稿、听书稿

1.网络小说写作

166.起点中文网：作家专区https://write.qq.com/?siteid=1

167.纵横中文网：作家专区http://author.zongheng.com/nzh/login

168.17K小说网：作家专区https://author.17k.com/

169.晋江文学城：作家专区http://www.jjwxc.net/authorlist.php

170.创世中文网：作家专区https://write.qq.com/?siteid=3

171.潇湘书院：作家专区http://author.xxsy.net/Login.aspx?r=http%3a%2f%2fauthor.xxsy.net%2fdefault.aspx

2.写手类网站

172.稿稿

173.中国赏金写手网

174.豆瓣稿费银行

175.天使领域浮云殿

176.中国写手之家

178.易稿

179.手机APP平台

180.网易蜗牛读书

181.汤圆创作

182.每天读点故事

183.壹写作

184.简书

3.拆书稿、主播素材稿、听书稿

所谓拆书稿，是指将一本图书拆成10-15篇文章，使得读者能够更好的阅读。按照作品质量，可以得到2500～8000的收入。

185.壹心理

186.慈怀读书会

187.樊登读书会

188.有书

189.豆瓣小组

190.夜读

191.阿里读书

192.365读书

193.蜗牛读书领读人

194.十点读书会

自媒体类

所谓自媒体，就是利用平台来打造一定的个人品牌来形成长久的收入管道，或者利用平台来赚取平台的流量费用。

2021年了，是时候打造一个个人IP了，同时也是复利很强的一种副业模式，但需要你坚持输出，坚持做下去。

195.知乎

196.大鱼号

197.简书

198.小红书

199.微信公众号

200.百家号

201.趣头条

202.豆瓣

203.

204.企鹅号

205.微博

206.搜狐号

做自媒体前期比较困难，没人看，没人关注，短期内见不到钱。很难去坚持下来，但这类副业一单做好了，后期不管是赚钱还是其他的，对于个人来收获都是巨大的。

在家能做的兼职副业非常多，兼职可以作为自己的跳板，但是我更建议大家培养一门副业，做个长期主义者，学习一个技能或者去尝试能力型副业，前期可能赚不到钱，但是相信未来带给你的价值是不一样的。

而学习一个技能通过技能赚钱是比较稳的赚钱方式，随着技能水平的提升收入也是不断提升的。

做了有钱、停下就没钱的兼职项目，最多只能解决燃眉之急（大部分也不行），如果不是万不得已，大家尽量还是多尝试一些有门槛、有挑战的副业。建立自己的管道收入，停下来也有钱赚才是真正赚钱的意义。

如果你觉得这篇文章对你有所启发，点个关注与赞就行，我收获了鼓励！

续整合一些免费开源资源。

1、LibreOffice

有用户问办公套件如果不想用正版不便宜的微软Office或者广告很多的金山WPS，还有没有其它免费选择。有的！其实办公套件有不少开源免费的版本，而其中【LibreOffice】自由开源的办公套件优秀代表，它一样支持数据导入和导出功能，并且能直接导入PDF文档、微软Works、LotusWord，支持主要的OpenXML格式，也就是说是直接兼容主流的办公套件的，包含6大组件：LibreOffice文本文档、LibreOffice电子表格、LibreOffice演示文稿、LibreOffice公式、LibreOffice绘图、LibreOffice数据库。也就是对应微软Office的Word，Excel，ppt等套件。

【LibreOffice】支持持Windows、Mac、Debian、Ubuntu几大平台，免费又无广告，实际上它是功能上最接近微软Office的开源办公套件了。

2、FreeCAD

提到CAD制作软件，我想大部分第一时间会想到Autodesk家那款大名鼎鼎的【AutoCAD】，在CAD这种专业领域真的是强悍，当然正版价格也是不菲，一年授权费用是 8000+ 元人民币，你没看错，是一年。

当然，这种正版专业软件一般是企业单位购买给员工使用，普通用户一般不会去购买。不过如果有需求，也可以用一款开源免费的CAD制作软件【FreeCAD】，它拥有强大的几何内核OpenCasCade，允许在复杂的形状类型上执行复杂的 3D 操作，原生支持这些概念：多重曲面 (brep)、非均匀有理B样条 (nurbs curves) 和曲面 (surfaces)，大量几何实体 (geometric entities)，布尔操作 (boolean operations) 和圆角 (fillets) 和内建支持 STEP 和 IGES 格式。还能兼容Open Inventor的模型硬币3D库，同时还提供丰富的PythonAPI接口，方便用户构建各种自助模块。

基本上CAD制作中你需要到的功能【FreeCAD】都有提供，尽管界面没有【AutoCAD】那么好看，但功能是能够满足普通用户使用的。

3、CopyQ

如果是从事平时需要大量文字编辑工作的用户来说，系统自带的剪切板一定非常常用，键盘上的Ctrl+C，Ctrl+V一定非常耍得非常6。但系统自带的剪切板只能记录最新的剪切，并没有记录以前的复制粘贴内容。那么既有开发者开发了可以无限记录剪切板内容的工具。

【CopyQ】便是这样一款剪贴板增强管理工具，而且是开源免费。它可以将复制、剪切的项目以标签的形式摊开，通过标签化的界面来实现多重管理剪贴板项目，方便我们选取操作，而且不止文字，还有图像格式、以及其他自定义的存储格式。管理方面，你可以自定义进行排序、创建、编辑、删除、复制、粘贴、拖放项目，通过快捷键和托盘图标可以非常便捷地进行粘贴操作。

编辑前还可以自定义文字的字体和大小，很方便了。

4、File Converter

《File Converter》是一款免费开源功能强大的万能文件转换器，这款软件可以集成到你的右键功能菜单中，不管你想要转换什么格式的文件都可以通过这款工具直接右键转换。如果你经常有文件格式转换的需求，这款工具绝对是你的不二选择，支持的格式实在太多了。

使用说明：

使用方式非常简单，安装完毕之后，直接对着你要转档的档案按下右键，找到file converter 就能够直接选择要转档的格式。可转档的文件类型包含：音乐、影片、文件、图片等通通都没问题。也同时选择多个档案批次转档。

5、Koodo Reader

【Koodo Reader】是一个免费干净无广告的桌面电子书本地阅读器，支持阅读的格式非常多，包括epub, pdf, mobi, azw3, txt, md, djvu, docx, rtf, cbz, cbr, cbt, fb2, html 和 xml 等格式的电子书，几乎可以说是涵盖了主流的电子书格式了，只要你下载在本地上，直接导入到【Koodo Reader】打开阅读即可。

【Koodo Reader】整体的界面设计还是挺养眼的，干净也没有什么花里胡哨的功能，背景，文字大小颜色等均可自定义。另外如果你的电脑支持触屏操作，还可以在设置中打开触控模式，就可以享受与移动端一致的翻阅体验了。【Koodo Reader】不仅支持 Windows，还支持macOS、Linux 和网页版的几个平台。另外近期开发者也迭代了新版，解决某些格式导入后乱码的问题。

6、Dia Diagram Editor

说到流程图绘制软件，我想很多人第一时间会想到微软家出品的【Visio】，确实，【Visio】的口碑真的是非常好，我也建议第一选择是它，但问题是【Visio】的正版价格实在是不便宜，专业版要五千多元人民币，一般人可真接受不了。不过也有免费开源的流程图绘制软件选择：【Dia Diagram Editor】！它也可以快速绘制关系图、UML图、流程图、网络图等结构图，并且支持将图纸保存为EPS、SVG、XFIG、WMF和PNG等格式，常用的打印图形功能也是有的，虽然界面是古老了一些，但做流程图的功能基本上都是有的，是一个冷门但却强大的好软件。

7、Double Commander

【Double Commander】是一款双窗格文件管理器，并且界面采用了并排两个面板的显示，【Double Commander】提供多重命名工具、内部文本编辑器、标签界面，扩展搜索等功能，支持多种格式的存档类型等功能，类似于此前介绍过给大家的【Total Command】很相似，使用效率比其Win平台自带的或其它的第三方资源管理器都强很多，可以很方便的进行两个文件夹资源间的比对或者增删改，最重要是开源，免费。

在线咨询

上一篇：为什么你永远不应该在CSS中使用px来设置字体大小
下一篇：“我们对中国市场充满信心”

您的项目需求

*请认真填写需求信息，我们会在24小时内与您取得联系。

整合营销服务商

PHP安全编码规范不可忽略

1、安全编码基本原则

1.1 所有输入数据都是有害的

1.2 不依赖运行环境的安全配置

1.3 安全控制措施落实在最后执行阶段

1.4 最小化

1.5 失败终止

二、 常见漏洞安全编码

2.1 低版本框架、库漏洞

2.2 Command Injection

2.3 SQL Injection

2.4 XSS

2.5 CSRF

2.6 URL Redirect

2.7 路径可控

2.8 Code Injection

2.9 Xpath Injection

2.10 资源泄露

2.11 XXE

2.12 SSRF

2.13 敏感信息泄露

2.14 越权漏洞

2.16 弱类型漏洞

2.17 任意文件上传

2.18 本地文件包含

2.19 并发问题

2.20 WebSocket跨站劫持

1、LibreOffice

2、FreeCAD

3、CopyQ

4、File Converter

5、Koodo Reader

6、Dia Diagram Editor

7、Double Commander

您的项目需求

二、常见漏洞安全编码