编写安全 PHP 应用程序的七个习惯
在提及安全性问题时，需要注意，除了实际的平台和操作系统安全性问题之外，您还需要确保编写安全的应用程序。在编写 PHP 应用程序时，请应用下面的七个习惯以确保应用程序具有最好的安全性：
验证输入
保护文件系统
保护数据库
保护会话数据
保护跨站点脚本（Cross-site scripting，XSS）漏洞
检验表单 post
针对跨站点请求伪造（Cross-Site Request Forgeries，CSRF）进行保护
验证输入
在提及安全性问题时，验证数据是您可能采用的最重要的习惯。而在提及输入时，十分简单：不要相信用户。您的用户可能十分优秀，并且大多数用户可能完全按照期望来使用应用程序。但是，只要提供了输入的机会，也就极有可能存在非常糟糕的输入。作为一名应用程序开发人员，您必须阻止应用程序接受错误的输入。仔细考虑用户输入的位置及正确值将使您可以构建一个健壮、安全的应用程序。
虽然后文将介绍文件系统与数据库交互，但是下面列出了适用于各种验证的一般验证提示：
使用白名单中的值
始终重新验证有限的选项
使用内置转义函数
验证正确的数据类型（如数字）
白名单中的值（White-listed value）是正确的值，与无效的黑名单值（Black-listed value）相对。两者之间的区别是，通常在进行验证时，可能值的列表或范围小于无效值的列表或范围，其中许多值可能是未知值或意外值。
在进行验证时，记住设计并验证应用程序允许使用的值通常比防止所有未知值更容易。例如，要把字段值限定为所有数字，需要编写一个确保输入全都是数字的例程。不要编写用于搜索非数字值并在找到非数字值时标记为无效的例程。
保护文件系统
2000 年 7 月，一个 Web 站点泄露了保存在 Web 服务器的文件中的客户数据。该 Web 站点的一个访问者使用 URL 查看了包含数据的文件。虽然文件被放错了位置，但是这个例子强调了针对攻击者保护文件系统的重要性。
如果 PHP 应用程序对文件进行了任意处理并且含有用户可以输入的变量数据，请仔细检查用户输入以确保用户无法对文件系统执行任何不恰当的操作。清单 1 显示了下载具有指定名的图像的 PHP 站点示例。
清单 1. 下载文件
<?php
if ($_POST['submit'] == 'Download') {
$file = $_POST['fileName'];
header("Content-Type: application/x-octet-stream");
header("Content-Transfer-Encoding: binary");
header("Content-Disposition: attachment; filename=\"" . $file . "\";
相关文档：
根据你的使用目的我觉得这个函数有两方面的用途：
防止SQL Injection攻击，也就是你必须验证用户的输入
操作数据的时候避免不必要的字符导致错误
mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。
下列字符受影响：
\x00
\n
\r
\
'
"
\x1a
如果成功，则该函数返回被转义的字符� ......
目前LAMP (Linux + Apache + MySQL + PHPspan style="font-family: Verdana;">) 近几年来发展迅速，已经成为Web 服务器的事实标准。LAMP这个词的由来最早始于德国杂志“c't Mag
azine”，Michael Kunze在1990年最先把这些项目组合在一起创造了LAMP的缩写字。这些组件虽然并不是开开始就设计为一起使 ......
基本的 PHP 语法
PHP 的脚本块以 <?php 开始，以 ?> 结束。您可以把 PHP 的脚本块放置在文档中的任何位置。
当然，在支持简写的服务器上，您可以使用 <? 和 ?> 来开始和结束脚本块。
不过，为了达到最好的兼容性，我们推荐您使用标准形式 (<?php)，而不是简写形式。
<?php
?>
PHP 文件通常会包 ......
字符串变量用于存储并处理文本片段。
PHP 中的字符串
字符串变量用于包含字符串的值。
在本教程中，我们打算介绍几个在 PHP 中用于操作字符串的最常用的函数和运算符。
在创建字符串之后，我们就可以对它进行操作了。您可以直接在函数中使用字符串，或者把它存储在变量中。
在下面，PHP 脚本把字符串 "Hello World" 赋 ......
公司反应耐飞家教和兼职后台显示的时间跟实际注册的时间相差8小时。
发现时间一直对不上，date("Y-m-d h:i:s") 总是与服务器时间差8个小时．后来发现，我现在的机器上的php是5.14的．
原来从php5.1.0开始，php.ini里加入了date.timezone这个选项，默认情况下是关闭的
也就是显示的时间（无论用什么php命令）都是格� ......
