编写安全 PHP 应用程序的七个习惯
在提及安全性问题时，需要注意，除了实际的平台和操作系统安全性问题之外，您还需要确保编写安全的应用程序。在编写 PHP 应用程序时，请应用下面的七个习惯以确保应用程序具有最好的安全性：
验证输入
保护文件系统
保护数据库
保护会话数据
保护跨站点脚本（Cross-site scripting，XSS）漏洞
检验表单 post
针对跨站点请求伪造（Cross-Site Request Forgeries，CSRF）进行保护
验证输入
在提及安全性问题时，验证数据是您可能采用的最重要的习惯。而在提及输入时，十分简单：不要相信用户。您的用户可能十分优秀，并且大多数用户可能完全按照期望来使用应用程序。但是，只要提供了输入的机会，也就极有可能存在非常糟糕的输入。作为一名应用程序开发人员，您必须阻止应用程序接受错误的输入。仔细考虑用户输入的位置及正确值将使您可以构建一个健壮、安全的应用程序。
虽然后文将介绍文件系统与数据库交互，但是下面列出了适用于各种验证的一般验证提示：
使用白名单中的值
始终重新验证有限的选项
使用内置转义函数
验证正确的数据类型（如数字）
白名单中的值（White-listed value）是正确的值，与无效的黑名单值（Black-listed value）相对。两者之间的区别是，通常在进行验证时，可能值的列表或范围小于无效值的列表或范围，其中许多值可能是未知值或意外值。
在进行验证时，记住设计并验证应用程序允许使用的值通常比防止所有未知值更容易。例如，要把字段值限定为所有数字，需要编写一个确保输入全都是数字的例程。不要编写用于搜索非数字值并在找到非数字值时标记为无效的例程。
保护文件系统
2000 年 7 月，一个 Web 站点泄露了保存在 Web 服务器的文件中的客户数据。该 Web 站点的一个访问者使用 URL 查看了包含数据的文件。虽然文件被放错了位置，但是这个例子强调了针对攻击者保护文件系统的重要性。
如果 PHP 应用程序对文件进行了任意处理并且含有用户可以输入的变量数据，请仔细检查用户输入以确保用户无法对文件系统执行任何不恰当的操作。清单 1 显示了下载具有指定名的图像的 PHP 站点示例。
清单 1. 下载文件
<?php
if ($_POST['submit'] == 'Download') {
$file = $_POST['fileName'];
header("Content-Type: application/x-octet-stream");
header("Content-Transfer-Encoding: binary");
header("Content-Disposition: attachment; filename=\"" . $file . "\";
相关文档：
这篇文章介绍如何配置IIS以支持在同一台服务器的多个版本的PHP。这在需要测试不同PHP版本应用程序的开发环境中安装是非常有用的。此外，它经常被用在生产环境中，许多PHP应用程序驻留在同一台服务器上，其中一些依赖于某个特定的PHP版本。
为了在同一IIS服务器上同时安装多个版本的PHP，必须按照php.net文档IIS 5.1和IIS ......
PHP 的真正威力源自于它的函数。
在 PHP 中，提供了超过 700 个内建的函数。
PHP 函数
在本教程中，我们将为您讲解如何创建自己的函数。
如需内建函数的参考和实例，请访问我们的 PHP 参考手册。
创建 PHP 函数
函数是一种可以在任何被需要的时候执行的代码块。
创建 PHP 函数：
所有的函数都使用关键词 "function( ......
在许多表单中要输入日期，通常的做法是给出三个下拉框，然后分别选择年，月和日。
这里所讲的是，采用一个Text编辑框来放日期，选择日期功能，则采用弹出一个日历窗口，在窗口中让用户选择，则Text比较框中自动把日期填上。
下面我们讲讲怎样实现它。
在日期选择的处理上，例子如下：
wnl.htm
<form name="form1" m ......
PHP 5.3.1
MySQL 5.0.89
Nginx 0.8.33 或 0.7.65 （可选）
现在，我们可以快速全自动搞定 CentOS + Nginx + PHP-FPM + MySQL 的安装了
这个可比网上流传的什么一键安装包要好得多，强烈推荐此法安装，适合所有菜鸟和高手
我服务器上全用的源 ......
模型框架
框架思想就是提供一种可以在多个应用程序中使用的设计。所有应用程序都有大量通用的基本内容 —— 具体地说，就是某类与数据库的接口、某些应用程序逻辑、应用程序呈现给用户的内容等。如果您编写过许多 PHP 应用程序，则会知道这些基本内容是什么。您可能已经编写过一组函数或从数据库中读取数据和向� ......
