在之前的入门篇教程中，我们已经见识了如何搭建 PHP 本地开发环境，选择一款适合自己的 PHP 代码编辑器，并编写了一个最简单的 PHP 程序，以及在 HTML 中嵌入 PHP 脚本，算是熟悉了 PHP 代码的基本开发和运行流程。
isset(PHP3,PHP4,PHP5)isset--检测变量是否设置描述boolPHP
有了 PHP 开发环境和代码编辑器，今天我们来编写第一个 PHP 程序，很简单，就是打印一段字符串而已，但是所有编程语言的入门都是从这里开始的，通过这个简单的字符串打印，我们可以了解 PHP 程序的执行流程以及基本语法，并由此叩开 PHP 编程的大门。
在 PHP 中，我们可以通过 phpinfo() 查看到当前系统中的环境变量信息（Environment）。在代码中，我们也可以通过两个函数，查看和修改相应的环境变量信息。
3.如果公司有测试服务器和正式服务器两台，通过环境变量的方式来区分测试环境和正式环境是一个不错的办法
1.概述 代码审核，是对应用程序源代码进行系统性检查的工作。它的目的是为了找到并且修复应用程序在开发阶段存在的一些漏洞或者程序逻辑错误，避免程序漏洞被非法利用给企业带来不必要的风险。 代码审核不是简单的检查代码，审核代码的原因是确保代码能安全的做到对信息和资源进行足够的保护，所以熟悉整个应用程序的业务流程对于控制潜在的风险是非常重要的。审核人员可以使用类似下面的问题对开发者进行访谈，来收集应用程序信息。 应用程序中包含什么类型的敏感信息，应用程序怎么保护这些信息的？ 应用程序是对内提供服务，还是对外？哪些人会使用，他们都是可信用户么？ 应用程序部署在哪里？ 应用程序对于企业的重要性？ 最好的方式是做一个checklist，让开发人员填写。Checklist能比较直观的反映应用程序的信息和开发人员所做的编码安全，它应该涵盖可能存在严重漏洞的模块，例如：数据验证、身份认证、会话管理、授权、加密、错误处理、日志、安全配置、网络架构。 2.输入验证和输出显示 大多数漏洞的形成原因主要都是未对输入数据进行安全验证或对输出数据未经过安全处理，比较严格的数据验证方式为： 对数据进行精确匹配； 接受白名单的数据； 拒绝黑名单的数据； 对匹配黑名单的数据进行编码； 在PHP中可由用户输入的变量列表如下： $_SERVER $_GET $_POST $_COOKIE $_REQUEST $_FILES $_ENV $_HTTP_COOKIE_VARS $_HTTP_ENV_VARS $_HTTP_GET_VARS $_HTTP_POST_FILES $_HTTP_POST_VARS $_HTTP_SERVER_VARS 我们应该对这些输入变量进行检查 1.命令注入 PHP执行系统命令可以使用以下几个函数：system、exec、passthru、“、shell_exec、popen、proc_open、pcntl_exec 我们通过在全部程序文件中搜索这些函数，确定函数的参数是否会因为外部提交而改变，检查这些参数是否有经过安全处理。 防范方法： 1.使用自定义函数或函数库来替代外部命令的功能 2.使用escapeshellarg函数来处理命令参数 3.使用safe_mode_exec_dir指定可执行文件的路径 2.跨站脚本 反 射型跨站常常出现在用户提交的变量接受以后经过处理，直接输出显示给客户端；存储型跨站常常出现在用户提交的变量接受过经过处理后，存储在数据库里，然后 又从数据库中读取到此信息输出到客户端。输出函数经常使用：echo、print、printf、vprintf、< %=$test%> 对于反射型跨站，因为是立即输出显示给客户端，所以应该在当前的php页面检查变量被客户提交之后有无立即显示，在这个过程中变量是否有经过安全检查。 对于存储型跨站，检查变量在输入后入库，又输出显示的这个过程中，变量是否有经过安全检查。 防范方法： 1.如果输入数据只包含字母和数字，那么任何特殊字符都应当阻止 2.对输入的数据经行严格匹配，比如邮件格式，用户名只包含英文或者中文、下划线、连字符 3.对输出进行HTML编码，编码规范 < < > > ( ( ) ) # # & & ” “ ‘ ‘ ` %60 3.文件包含 PHP可能出现文件包含的函数：include、include_once、require、require_once、show_source、highlight_file、readfile、file_get_contents、fopen、file 防范方法： 1.对输入数据进行精确匹配，比如根据变量的值确定语言en.php、cn.php，那么这两个文件放在同一个目录下’language/’.$_POST[‘lang’].’.php’，那么检查提交的数据是否是en或者cn是最严格的，检查是否只包含字母也不错 2.通过过滤参数中的/、..等字符 4.代码注入 PHP可能出现代码注入的函数：eval、preg_replace+/e、assert、call_user_func、call_user_func_array、create_function 查找程序中程序中使用这些函数的地方，检查提交变量是否用户可控，有无做输入验证 防范方法： 1.输入数据精确匹配 2.白名单方式过滤可执行的函数 5.SQL注入 SQL注入因为要操作数据库，所以一般会查找SQL语句关键字：insert、delete、update、select，查看传递的变量参数是否用户可控制，有无做过安全处理 防范方法： 使用参数化查询 6.XPath注入 Xpath用于操作xml，我们通过搜索xpath来分析，提交给xpath函数的参数是否有经过安全处理 防范方法： 对于数据进行精确匹配 7.HTTP响应拆分 PHP中可导致HTTP响应拆分的
cookie 常用于识别用户。cookie 是一种服务器留在用户计算机上的小文件。每当同一台计算机通过浏览器请求页面时，这台计算机将会发送 cookie。通过 PHP，您能够创建并取回 cookie 的值。
随着使用 PHP 环境的用户越来越多，相关的安全问题也变得越来越重要。PHP 环境提供的安全模式是一个非常重要的内嵌安全机制，PHP 安全模式能有效控制一些 PHP 环境中的函数（例如system()函数），对大部分的文件操作函数进行权限控制，同时不允许对某些关键文件进行修改（例如 /etc/passwd）。但是，默认的 php.ini 配置文件并没有启用安全模式。
大家好，又见面了，我是你们的朋友全栈君。allow_url_fopen与安全以及PHP libcurl allow_url_fopen=ON常常会给服务器和管理员带来麻烦，但是经常性（至少我这样认为）的我们需要远程读取某个东西，如果设置allow_url_fopen=OFF将其关闭，我们就没有办法远程读取。
我的本机是win7系统，安装的是phpStudy，完整的php.exe文件路径是D:\phpStudy\php\php-5.5.38，完整的php.exe路径是D:\phpStudy\php\php-5.5.38\php.exe，最终要加入的环境变量就是后者了
最近在跟师傅们讨论代码审计技巧的时候，好几个师傅都提到了变量覆盖漏洞，对于这一块的知识我并不是了解很多，网上的说明或多或少的都有一些粗略和不足，所以在这几天闲暇之余，我特意地将PHP变量覆盖漏洞进行了系统的总结，在此记录一下，个人难免会有疏漏和不足之处，非常欢迎各位师傅的补充与纠正
env 查看全局环境变量 set 查看所有环境变量 echo $SHLVL 查看单个环境变量 unset name 删除环境变量 针对本次会话有效
1、Cookie和Session简介与区别 在非常多时候，我们需要跟踪浏览者在整个网站的活动，对他们身份进行自动或半自动的识别（也就是平时常说的网站登陆之类的功能），这时候，我们常采用Cookie与 Session来跟踪和判断。 区别 Session信息是存放在server端，但session id是存放在client cookie的，当然php的session存放方法是多样化的，这样就算禁用cookie一样可以跟踪 Cookie是完全保持在客户端的如：IE firefox 当客户端禁止cookie时将不
学会php session可以在很多地方使用，比如做一个后台登录的功能，要让程序记住用户的session，其实很简单，看了下面的文章你就明白了。
无论是apache还是nginx,php.ini都是适合的。而php-fpm.conf适合nginx+fcgi的配置
在 PHP 中，预定义的 $_GET 变量用于收集来自 method="get" 的表单中的值。
无论是Apache还是Nginx，php.ini都是适合的，而php-fpm.conf适合nginx+fcgi的配置
然后我们Ctrl+R输入cmd回车，在打开的命令行里面输入php -v，如图所示即为成功。
apache在启动时php.ini被读取。对于服务器模块版本的php，仅在web服务器启动时读取一次。对于CGI和CLI版本，每次调用都会被读取
对比起 Cookie，Session 是存储在服务器端的会话，相对安全，并且不像 Cookie 那样有存储长度限制，本文简单介绍 Session 的使用。 由于 Session 是以文本文件形式存储在服务器端的，所以不怕客户端修改 Session 内容。实际上在服务器端的 Session 文件，PHP 自动修改 Session 文件的权限，只保留了系统读和写权限，而且不能通过 ftp 修改，所以安全得多。 对于 Cookie 来说，假设我们要验证用户是否登陆，就必须在 Cookie 中保存用户名和密码（可能是 md5 加密后字符串），并在每次请求页面的时候进行验证。如果用户名和密码存储在数据库，每次都要执行一次数据库查询，给数据库造成多余的负担。因为我们并不能 只做一次验证。为什么呢？因为客户端 Cookie 中的信息是有可能被修改的。假如你存储 $admin 变量来表示用户是否登陆，$admin 为 true 的时候表示登陆，为 false 的时候表示未登录，在第一次通过验证后将 $admin 等于 true 存储在 Cookie，下次就不用验证了，这样对么？错了，假如有人伪造一个值为 true 的 $admin 变量那不是就立即取的了管理权限么？非常的不安全。 而 Session 就不同了，Session 是存储在服务器端的，远程用户没办法修改 Session 文件的内容，因此我们可以单纯存储一个 $admin 变量来判断是否登陆，首次验证通过后设置 $admin 值为 true，以后判断该值是否为 true，假如不是，转入登陆界面，这样就可以减少很多数据库操作了。而且可以减少每次为了验证 Cookie 而传递密码的不安全性了（Session 验证只需要传递一次，假如你没有使用 SSL 安全协议的话）。即使密码进行了 md5 加密，也是很容易被截获的。 当然使用 Session 还有很多优点，比如控制容易，可以按照用户自定义存储等（存储于数据库）。我这里就不多说了。 Session 在 php.ini 是否需要设置呢？一般不需要的，因为并不是每个人都有修改 php.ini 的权限，默认 Session 的存放路径是服务器的系统临时文件夹，我们可以自定义存放在自己的文件夹里，这个稍后我会介绍。 开始介绍如何创建 Session。非常简单，真的。 启动 Session 会话，并创建一个 $admin 变量：
1.软件版本：PHP版本应该从PHP官方提供的下载页面下载，注意不要下载beta版本。 PHP官网下载地址为：http://www.php.net/downloads.php 2.控制脚本访问权限：PHP默认配置允许php脚本程序访问服务器上的任意文件，为避免php脚本访问不该访问的文件，从一定程度上限制了php木马的危害，需设置php只能访问网站目录或者其他必须可访问的目录。 /usr/local/apache2/web/为网站根目录，打开php.ini，安全加固配置方式如下： open_basedi
1、安装相关软件，如Sublime text、 Notepad++、editplus、 Seay源代码审计系统等
PHP session用法其实很简单它可以把用户提交的数据以全局变量形式保存在一个session中并且会生成一个唯一的session_id，这样就是为了多了不会产生混乱了，并且session中同一浏览器同一站点只能有一个session_id,下面我们一起来看看关于session使用方法。 如何使用session，凡是与session有关的,之前必须调用函数session_start(); 为session赋值很简单,如:
我们php手手工安装的，php的默认配置文件在 /usr/local/apache2/conf/php.ini，我们最主要就是要配置php.ini中的内容，让我们执行php能够更安全。整个PHP中的安全设置主要是为了防止phpshell和SQL Injection的攻击，一下我们慢慢探讨。我们先使用任何编辑工具打开/etc/local/apache2/conf/php.ini，如果你是采用其他方式安装，配置文件可能不在该目录。
在使用php编写页面程序时，我经常使用变量处理函数判断php页面尾部参数的某个变量值是否为空PHP
PHP是网络上最流行的编程语言之一，许多被广泛使用的内容管理系统都使用它开发，如WordPress和Drupal，并为现代服务器端框架（如Laravel和Symfony）提供核心代码。
Php的配置项可以在配置文件中配置，也可以在脚本中使用ini_set()函数临时配置。
php，基础，流程控制，函数，字符串，数组，web交互，mysql数据库，PHP数据库编程，cookie与session，日期和时间，图形图形处理，文件和目录处理，面向对象，pdo数据库抽象层，smarty模板。
变量就像一个存储数据的盒子，每次设置变量的值，就会修改变量中存储的内容，就像是把盒子里旧的内容倒掉清空，再替换成新的内容。
ThinkPHP5.0的URl访问受路由决定，如果关闭路由或者没有匹配路由的情况下，则是基于：
在做网站的过程中，大部分的页面结构都是相似的。如都有相同的头部和底部。各个页面这样仅仅是中间的部分不同。
XDebug是一个开放源代码的PHP程序调试器(即一个Debug工具)，可以用来跟踪，调试和分析PHP程序的运行状况。是一个C语言扩展包(Windows下扩展名为.dll)。 XDebug 下载地址： http://xdebug.org/download.php WinCacheGrind 下载地址： http://sourceforge.net/projects/wincachegrind/ 1. 下载 以Windows环境下php5.2为例。去官方下载合适的XDebug版本，看下图，应该在前两个链接选择一个下载，这要取决于你的PHP5.2是否为非线程安全还是线程安全版，我这里是后者，因此选择红框标定的链接下载 下载后是一个dll文件，建议修改为更友好的文件名：php_xdebug.dll. 2. 配置 复制php_xdebug.dll到$php_installed_dir/ext目录下，修改php.ini,可以先设置如下选项：
但是在laravel框架中想要使用这种方式，却不知从何入手，然后就各种找资料，后来就用变量代替了常量。
输出 PHP 当前状态的大量信息，包含了 PHP 编译选项、启用的扩展、PHP 版本、服务器信息和环境变量（如果编译为一个模块的话）、PHP环境变量、操作系统版本信息、path 变量、配置选项的本地值和主值、HTTP 头和PHP授权信息(License)。
在Python课程里咱们讲解了什么是局部变量与全局变量的概念，这里再次介绍一种变量，”超全局变量“
超级全局变量在PHP 4.1.0之后被启用, 是PHP系统中自带的变量，在一个脚本的全部作用域中都可用。
final是在PHP5版本引入的，它修饰的类不允许被继承，它修饰的方法不允许被重写。
Xdebug是PHP的扩展，用于协助调试和开发。 – 它包含一个用于IDE的调试器 – 它升级了PHP的var_dump()函数 – 它为通知，警告，错误和异常添加了堆栈跟踪 – 它具有记录每个函数调用和磁盘变量赋值的功能 – 它包含一个分析器 – 它提供了与PHPUnit一起使用的代码覆盖功能。
本文介绍了在使用PHP函数openssl_pkey_export()时可能遇到的报错问题，并提供了解决方案。当调用该函数时出现openssl_pkey_export(): cannot get key from parameter 1错误的情况，可以通过添加环境变量和设置正确的值来解决。
【1】页面之间无法传递变量 get,post,session在最新的php版本中自动全局变量是关闭 的，所以要从上一页面取得提交过来得变量要使 用$_GET['foo'],$_POST['foo'],$_SESSION ['foo']来得到。当然也可以修改自动全局变量为开(php.ini改 为register_globals = On)；考虑 到兼容性，还是强迫自己熟悉新的写法比较好。 注：PHP中的超全局变量 从PHP 4.2.0 开始，register_globals 的默认值为 off，这样一来，
在配置文件中，设置display_errors=On，开启了PHP错误显示，在PHP程序遇到错误时，会暴露PHP文件和系统路径，从而容易被威胁，我们需要设置：
学习PHP以来一直希望有时间能够有时间通读PHP手册，最近终于强迫自己划出一些时间，完成了对PHP手册的通读。除了函数参考部分没有每个都看，其他的章节基本上都看过了。看过之后才发现手册解决了自己之前对于PHP的一些模棱两可的认识，对PHP的掌握变的更加的全面和深入。
Zend Studio是我们PHPer的一个非常的得力的工具，有了他往往能够让我们的工作事倍功半，今天就来记录一下日常使用中非常有用的配置，来帮助更多的PHPer提高工作的效率。
原文出处： 彭长霖 本文所讨论的安全性环境是在Linux+Apache+Mysql+PHP。超出此范围的安全性问题不在本文范畴之内 一、apache server安全性设置 1、以Nobody用户运行 一般情况下，Apache是由Root 来安装和运行的。如果ApacheServer进程具有Root用户特权，那么它将给系统的安全构成很大的威胁，应确保Apache Server进程以最可能低的权限用户来运行。通过修改httpd.conf文件中的下列选项，以Nobody用户运行Apache 达到相对安全的
var_export()函数用于输出或返回一个变量，本篇文章给大家分析一下PHP中的var_export()，介绍一下var_export()函数的使用方法。
请注意，本文编写于 1727 天前，最后修改于 996 天前，其中某些信息可能已经过时。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
