>我鼓勵您對其進(jìn)行徹底的閱讀 - 它具有您應(yīng)該意識到的一些真正有價值的信息 - 尤其是前八個。幾天前，安娜·菲利娜（Anna Filina）用七個新條目擴(kuò)展了名單。雖然較不具體和普遍，但她的觀點(diǎn)仍然具有重量，並且在開發(fā)時應(yīng)考慮。
鑰匙要點(diǎn)
>避免在SQL數(shù)據(jù)庫中使用已棄用的MySQL擴(kuò)展名，因?yàn)樗遣话踩?，不可靠的，並且缺乏對SSL和現(xiàn)代MySQL功能的支持。相反，選擇諸如Mysqli或PDO之類的替代方案，這些替代方案提供更好的安全性和更多功能。
>避免使用 @ Operator抑制代碼中的錯誤。而是允許記錄錯誤並通過修復(fù)代碼來解決這些錯誤。這有助於保持應(yīng)用程序的完整性，並防止問題被忽略或忽視。- >要謹(jǐn)慎透露有關(guān)後端設(shè)置的太多信息，尤其是在使用已知框架的情況下。如果發(fā)現(xiàn)該框架中的安全漏洞，則可以將您的應(yīng)用程序暴露於潛在的攻擊中。另外，請記住要在推動生產(chǎn)以防止未經(jīng)授權(quán)的訪問時刪除開發(fā)配置。
- 7個錯誤PHP開發(fā)人員通常會造成
- >我被Toptal的某人要求我查看他們的清單並有可能做出貢獻(xiàn)，我們在社交網(wǎng)絡(luò)上的一些追隨者也對看到清單的興趣也繼續(xù)，所以我想藉此機(jī)會來在此列表中添加一些我自己的條目，我需要一再警告我的團(tuán)隊(duì)成員或追隨者。
- 1。使用mysql擴(kuò)展
而不是使用mysql，而是選擇一種替代方法：mysqli或pdo。例如，使用mysqli幾乎與將字母“ i”添加到API呼叫的末端一樣簡單：
<span>$c = mysql_connect("host", "user", "pass");
</span><span>mysql_select_db("database");
</span><span>$result = mysql_query("SELECT * FROM posts LIMIT 1");
</span><span>$row = mysql_fetch_assoc($result);</span>vs
<span>$mysqli = new mysqli("host", "user", "pass", "database");
</span><span>$result = $mysqli->query("SELECT * FROM posts LIMIT 1");
</span><span>$row = $result->fetch_assoc();</span>這就是使設(shè)置變得更加安全所需的全部。 > 不過，您應(yīng)該選擇PDO。在第2點(diǎn)。
2。不使用PDO不要誤會我的意思，Mysqli（從字面上看）幾代人都領(lǐng)先於古代MySQL擴(kuò)展。它保持最新，安全，可靠和快速。但是，這是特定於MySQL的。相反，使用PDO將使您使用一些非常實(shí)用的面向?qū)ο蟮恼Z法，並將與其他SQL數(shù)據(jù)庫（如PostgreSQL，MS SQL等）一起為探戈做準(zhǔn)備。此外，PDO將讓您使用名為參數(shù)，這是一項(xiàng)非常有用的功能，很少有人能想像在適當(dāng)?shù)乩盟釙テ渌魏螙|西。最後但並非最不重要的一點(diǎn)是：您可以將獲取的數(shù)據(jù)直接注入新對象，這在大型項(xiàng)目中是一個令人愉快的時間。
3。不重寫URL
>另一個通常被忽略且易於解決的問題。像myapp.com/index.php？ p = 34＆g = 24之類的URL在當(dāng)今時代不可接受。由於很難編寫一個良好的URL重寫指南，該指南將涵蓋每個服務(wù)器和框架，因此幾乎每個框架都有一個指南，有關(guān)如何設(shè)置乾淨(jìng)的URL（Laravel，Phalcon，Symfony，Symfony，Zend）和任何不'只是不值得使用- 他們顯然不在乎現(xiàn)代實(shí)踐。
4。抑制錯誤
>我在上一篇文章中寫了這一點(diǎn)，但值得一提。每當(dāng)您發(fā)現(xiàn)自己使用 @操作員時，重新考慮並從其他角度仔細(xì)解決問題。當(dāng)我說圍繞應(yīng)用程序功能周圍的20條樣板捲曲代碼比單線 @ operator在其前面的一行時，請說出我的話。
>>我通過個人實(shí)驗(yàn)發(fā)現(xiàn)，一個好的方法是我在原始帖子中提倡的方法 - 將所有通知變成致命錯誤。確保
沒有
登錄到錯誤日誌中，因?yàn)閺淖置嫔峡?p>> log> 比假裝大便更好地通過在您的眼前握住@ the the the the the the the the the the the。 >我們最近介紹了一些Heroku附加組件，用於生產(chǎn)Ready PHP應(yīng)用程序，其中之一是出色的紙質(zhì)編寫片- 一種附加組件，可讓您將所有應(yīng)用程序的錯誤推向其後端，以便於稍後搜索，分組和淘汰在;因此，即使確實(shí)發(fā)生了一些錯誤，最好讓它們記錄並通過修復(fù)代碼來擺脫它們，而不是沉默它們並在用戶面前玩愚蠢。5。在條件下分配
>即使是經(jīng)驗(yàn)豐富的開發(fā)人員有時會有一條手指滑動，然後寫（$ condition ='value'）{而不是if（$ condition =='value'）{。我們的手會滑倒，鍵盤不會註冊按鍵，我們最終會從分配實(shí)際發(fā)生的代碼的另一部分粘貼 - 發(fā)生了 - 通常只有在運(yùn)行應(yīng)用程序時才發(fā)現(xiàn)。
有幾種完全避免這種情況的方法：>
- 使用一個體面的IDE。任何好的IDE（例如PhpStorm）都會在檢測到它們時警告您。
- 使用“ YODA條件”。您會在許多受歡迎的項(xiàng)目，甚至大型框架中看到這些。通過反轉(zhuǎn)比較（如（例如（'value'= $條件））{）{），較弱的IDE也會注意到問題。有些人認(rèn)為Yoda語法令人討厭且毫無意義，這是一個應(yīng)該沒有的生命線（“對您的代碼，該死更加謹(jǐn)慎”），但是對每個人都有自己的幫助- 如果對某人有幫助，我全都為此。如果我們都是精英人士，那麼WordPress和Zend框架就將不存在。 只需牢記它，您就會每次編寫它都會形成眼睛反射。它只需要練習(xí)，但是它甚至是最好的開發(fā)人員，那就是1。和2。
- 6。太透明
- 說這可能引起一些爭議，但無論如何。除非您對框架的開發(fā)人員有100％的信心，否則不經(jīng)營高保羅，交通高級業(yè)務(wù)關(guān)鍵應(yīng)用程序，否則您應(yīng)該始終努力掩蓋您的後端方式- 不要廣播您的應(yīng)用程序基於哪個框架實(shí)際上是基於CAN的框架如果發(fā)現(xiàn)該框架的安全漏洞，請幫助防止攻擊。例如：
在這推文中，對嚴(yán)重的代碼注入問題的了解正在廣播到公共領(lǐng)域。如果您在工作，並且可以在沒有DevOps問題的情況下立即升級並讓團(tuán)隊(duì)首先縮減，但是對於大多數(shù)使用Symfony的公司和公司而言，情況並非如此。即使可以通過作曲家升級Symfony（正如Ryan在下面的評論中提到的那樣），但通常需要一段時間才能在具有多層環(huán)境的大型團(tuán)隊(duì)中獲得批準(zhǔn)。所有使用此翻譯器方法聲明為Symfony用戶的網(wǎng)站是（曾經(jīng)？）。
在上面的示例中使用Symfony只是一個示例。多年來，無數(shù)其他軟件也出現(xiàn)了類似的情況。回到我仍然商業(yè)上使用Zend Framework時，我們也發(fā)生了這種情況，因此遭受了攻擊。 WordPress擁有其安全性的一部分，我們知道那裡的網(wǎng)站有多高。這些事情發(fā)生了，有時，開源和透明度並不是處理公司大部分收入來源的應(yīng)用程序時的最佳方法。
7。不刪除開發(fā)配置
最後但並非最不重要的一點(diǎn)是，應(yīng)提及開發(fā)配置刪除。最近（這是一個誠實(shí)的巧合，我再次在這裡提到Symfony），CNET由於沒有消除其開發(fā)配置而遭受了攻擊。
> uhmmm no：http：//t.co/raqis1ycwq #security #symfony - Marco pivetta（@ocromius）2014年7月15日
世界上最大的科技新聞網(wǎng)站之一> CNET是基於Symfony的。眾所周知，Symfony為您的應(yīng)用程序提供了兩個入口點(diǎn)：app.php和app_dev.php。通過將瀏覽器指向一個，您可以獲得生產(chǎn)環(huán)境。通過指向_dev後綴的一個，您顯然會獲得開發(fā)版本，該版本具有調(diào)試器，敏感數(shù)據(jù)等。無論是好還是壞，都是許多討論的主題（再次感謝Ryan指出了這一點(diǎn)），但是不可否認(rèn)，它使一些更笨拙的開發(fā)人員對諸如CNET遭受的錯誤打開了錯誤。此外，當(dāng)在app_dev上訪問的任何其他URL都將重定向到其他app_dev URL。換句話說，不僅是在開發(fā)模式下啟動的索引頁面，而且是整個網(wǎng)站 - 在CNET的情況下，這是很多訪問權(quán)限。 >
如果您在Twitter上進(jìn)行討論，它會非?？焖俚馗械诫y過 - 甚至令人難過的是，它本來可以在第二秒的工作中避免的：開發(fā)人員可以從生產(chǎn)服務(wù)器中刪除app_dev.php
- >開發(fā)人員可以允許使用白名單的IPS訪問app_dev.php，這是默認(rèn)情況下的工作方式，除非您放鬆這些限制。 >
- 這些方法中的任何一種都可以完全阻止所有問題。請記住，當(dāng)推動生產(chǎn)時，請確保您的開發(fā)配置是完全無法訪問的，或者僅適用於白色的IPS集合。
結(jié)論
您對此列表有何看法？它涵蓋了共同方面還是太深奧？您是否有一些更常見的陷阱，總共沒有提及？在下面的評論中讓我知道，如果您的建議是正確的，我們將更新帖子！
>以上是PHP開發(fā)人員常見的另外7個錯誤的詳細(xì)內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級程式碼編輯軟體(SublimeText3)
熱門話題
如何將兩個PHP陣列組合獨(dú)特的值？
Jul 02, 2025 pm 05:18 PM
要合併兩個PHP數(shù)組並保留唯一值，有兩種主要方法。 1.對於索引數(shù)組或僅需值去重的情況，使用array_merge和array_unique組合：先用array_merge($array1,$array2)合併數(shù)組，再用array_unique()去重，最終得到包含所有唯一值的新數(shù)組；2.對於關(guān)聯(lián)數(shù)組且希望保留第一個數(shù)組中的鍵值對時，使用 運(yùn)算符：$result=$array1 $array2，這將確保第一個數(shù)組中的鍵不會被第二個數(shù)組覆蓋。這兩種方法分別適用於不同場景，根據(jù)是否需要保留鍵名或只關(guān)注
在Linux上配置PHP開發(fā)環(huán)境的步驟
Jun 30, 2025 am 01:57 AM
TosetupaPHPdevelopmentenvironmentonLinux,installPHPandrequiredextensions,setupawebserverlikeApacheorNginx,testwithaPHPfile,andoptionallyinstallMySQLandComposer.1.InstallPHPandextensionsviapackagemanager(e.g.,sudoaptinstallphpphp-mysqlphp-curlphp-mbst
PHP正則密碼強(qiáng)度
Jul 03, 2025 am 10:33 AM
判斷密碼強(qiáng)度需結(jié)合正則與邏輯處理，基礎(chǔ)要求包括：1.長度不少於8位；2.至少含小寫字母、大寫字母、數(shù)字；3.可加入特殊字符限制；進(jìn)階方面需避免連續(xù)重複字符及遞增/遞減序列，這需PHP函數(shù)檢測；同時應(yīng)引入黑名單過濾常見弱密碼如password、123456；最終建議結(jié)合zxcvbn庫提升評估精度。
如何防止PHP中的跨站點(diǎn)偽造偽造（CSRF）攻擊？
Jun 28, 2025 am 02:25 AM
TopreventCSRFattacksinPHP,implementanti-CSRFtokens.1)Generateandstoresecuretokensusingrandom_bytes()orbin2hex(random_bytes(32)),savethemin$_SESSION,andincludetheminformsashiddeninputs.2)ValidatetokensonsubmissionbystrictlycomparingthePOSTtokenwiththe
如何在PHP中牢固地處理文件上傳？
Jul 08, 2025 am 02:37 AM
要安全處理PHP文件上傳需驗(yàn)證來源與類型、控製文件名與路徑、設(shè)置服務(wù)器限制並二次處理媒體文件。 1.驗(yàn)證上傳來源通過token防止CSRF並通過finfo_file檢測真實(shí)MIME類型使用白名單控制；2.重命名文件為隨機(jī)字符串並根據(jù)檢測類型決定擴(kuò)展名存儲至非Web目錄；3.PHP配置限制上傳大小及臨時目錄Nginx/Apache禁止訪問上傳目錄；4.GD庫重新保存圖片清除潛在惡意數(shù)據(jù)。
在PHP中評論代碼
Jul 18, 2025 am 04:57 AM
PHP註釋代碼常用方法有三種：1.單行註釋用//或#屏蔽一行代碼，推薦使用//；2.多行註釋用/.../包裹代碼塊，不可嵌套但可跨行；3.組合技巧註釋如用/if(){}/控制邏輯塊，或配合編輯器快捷鍵提升效率，使用時需注意閉合符號和避免嵌套。
發(fā)電機(jī)如何在PHP中工作？
Jul 11, 2025 am 03:12 AM
AgeneratorinPHPisamemory-efficientwaytoiterateoverlargedatasetsbyyieldingvaluesoneatatimeinsteadofreturningthemallatonce.1.Generatorsusetheyieldkeywordtoproducevaluesondemand,reducingmemoryusage.2.Theyareusefulforhandlingbigloops,readinglargefiles,or
撰寫PHP評論的提示
Jul 18, 2025 am 04:51 AM
寫好PHP註釋的關(guān)鍵在於明確目的與規(guī)範(fàn)，註釋應(yīng)解釋“為什麼”而非“做了什麼”，避免冗餘或過於簡單。 1.使用統(tǒng)一格式，如docblock（/*/）用於類、方法說明，提升可讀性與工具兼容性；2.強(qiáng)調(diào)邏輯背後的原因，如說明為何需手動輸出JS跳轉(zhuǎn)；3.在復(fù)雜代碼前添加總覽性說明，分步驟描述流程，幫助理解整體思路；4.合理使用TODO和FIXME標(biāo)記待辦事項(xiàng)與問題，便於後續(xù)追蹤與協(xié)作。好的註釋能降低溝通成本，提升代碼維護(hù)效率。
