php程式設計4個安全要點小結
規則 1：絕不要信任外部資料或輸入
關於 web 應用程式安全性，必須認識到的第一件事是不應該信任外部資料。外部資料(outside data) 包括不是由程式設計師在 php **中直接輸入的任何資料。在採取措施確保安全之前，來自任何其他**(比如 get 變數、表單 post、資料庫、配置檔案、會話變數或 cookie)的任何資料都是不可信任的。
對使用者輸入進行清理的乙個簡單方法是，使用正規表示式來處理它。
規則 2：禁用那些使安全性難以實施的 php 設定
已經知道了不能信任使用者輸入，還應該知道不應該信任機器上配置 php 的方式。例如，要確保禁用 register_globals。如果啟用了 register_globals，就可能做一些粗心的事情，比如使用 $variable 替換同名的 get 或 post 字串。通過禁用這個設定，php 強迫您在正確的命名空間中引用正確的變數。要使用來自表單 post 的變數，應該引用 $_post['variable']。這樣就不會將這個特定變數誤會成 cookie、會話或 get 變數。
要檢查的第二個設定是錯誤報告級別。在開發期間，希望獲得盡可能多的錯誤報告，但是在交付專案時，希望將錯誤記錄到日誌檔案中，而不是顯示在螢幕上。為什麼 呢?因為惡意的黑客會使用錯誤報告資訊(比如 sql 錯誤)來猜測應用程式正在做什麼。這種偵察可以幫助黑客突破應用程式。為了堵住這個漏洞，需要編輯 php.ini 檔案，為 error_log 條目提供合適的目的地，並將 display_errors 設定為 off。
規則 3：如果不能理解它，就不能保護它
一些開發人員使用奇怪的語法，或者將語句組織得很緊湊，形成簡短但是含義模糊的**。這種方式可能效率高，但是如果您不理解**正在做什麼，那麼就無法決定如何保護它。
規則 4：「縱深防禦」 是新的法寶
即使使用 php regex 來確保 get 變數完全是數字的，仍然可以採取措施確保 sql 查詢使用轉義的使用者輸入。
縱深防禦不只是一種好思想，它可以確保您不會陷入嚴重的麻煩。
PHP程式設計效率的20個要點
用單引號代替雙引號來包含字串，這樣做會更快一些。因為php會在雙引號包圍的字串中搜尋變數，單引號則 不會，注意 只有echo能這麼做，它是一種可以把多個字串當作引數的 函式 譯註 php手冊中說echo是語言結構，不是真正的函式，故把函式加 上了雙引號 1 如果能將類的方法定義成static，就盡量...
PHP程式設計效率的20個要點
用單引號代替雙引號來包含字串，這樣做會更快一些。因為php會在雙引號包圍的字串中搜尋變數，單引號則 不會，注意 只有echo能這麼做，它是一種可以把多個字串當作引數的 函式 譯註 php手冊中說echo是語言結構，不是真正的函式，故把函式加 上了雙引號 1 如果能將類的方法定義成static，就盡量...
PHP程式設計效率的20個要點
用單引號代替雙引號來包含字串，這樣做會更快一些。因為php會在雙引號包圍的字串中搜尋變數，單引號則不會，注意 只有echo能這麼做，它是一種可以把多個字串當作引數的 函式 譯註 php手冊中說echo是語言結構，不是真正的函式，故把函式加上了雙引號 1 如果能將類的方法定義成static，就盡量定義...