>我鼓勵(lì)您對(duì)其進(jìn)行徹底的閱讀 - 它具有您應(yīng)該意識(shí)到的一些真正有價(jià)值的信息 - 尤其是前八個(gè)。幾天前，安娜·菲利娜（Anna Filina）用七個(gè)新條目擴(kuò)展了名單。雖然較不具體和普遍，但她的觀點(diǎn)仍然具有重量，并且在開發(fā)時(shí)應(yīng)考慮。
鑰匙要點(diǎn)
>避免在SQL數(shù)據(jù)庫(kù)中使用已棄用的MySQL擴(kuò)展名，因?yàn)樗遣话踩?，不可靠的，并且缺乏?duì)SSL和現(xiàn)代MySQL功能的支持。相反，選擇諸如Mysqli或PDO之類的替代方案，這些替代方案提供更好的安全性和更多功能。
>避免使用 @ Operator抑制代碼中的錯(cuò)誤。而是允許記錄錯(cuò)誤并通過(guò)修復(fù)代碼來(lái)解決這些錯(cuò)誤。這有助于保持應(yīng)用程序的完整性，并防止問(wèn)題被忽略或忽視。- >要謹(jǐn)慎透露有關(guān)后端設(shè)置的太多信息，尤其是在使用已知框架的情況下。如果發(fā)現(xiàn)該框架中的安全漏洞，則可以將您的應(yīng)用程序暴露于潛在的攻擊中。另外，請(qǐng)記住要在推動(dòng)生產(chǎn)以防止未經(jīng)授權(quán)的訪問(wèn)時(shí)刪除開發(fā)配置。
- 7個(gè)錯(cuò)誤PHP開發(fā)人員通常會(huì)造成
- >我被Toptal的某人要求我查看他們的清單并有可能做出貢獻(xiàn)，我們?cè)谏缃痪W(wǎng)絡(luò)上的一些追隨者也對(duì)看到清單的興趣也繼續(xù)，所以我想借此機(jī)會(huì)來(lái)在此列表中添加一些我自己的條目，我需要一再警告我的團(tuán)隊(duì)成員或追隨者。
- 1。使用mysql擴(kuò)展
而不是使用mysql，而是選擇一種替代方法：mysqli或pdo。例如，使用mysqli幾乎與將字母“ i”添加到API呼叫的末端一樣簡(jiǎn)單：
<span>$c = mysql_connect("host", "user", "pass");
</span><span>mysql_select_db("database");
</span><span>$result = mysql_query("SELECT * FROM posts LIMIT 1");
</span><span>$row = mysql_fetch_assoc($result);</span>vs
<span>$mysqli = new mysqli("host", "user", "pass", "database");
</span><span>$result = $mysqli->query("SELECT * FROM posts LIMIT 1");
</span><span>$row = $result->fetch_assoc();</span>這就是使設(shè)置變得更加安全所需的全部。> 不過(guò)，您應(yīng)該選擇PDO。在第2點(diǎn)。
2。不使用PDO不要誤會(huì)我的意思，Mysqli（從字面上看）幾代人都領(lǐng)先于古代MySQL擴(kuò)展。它保持最新，安全，可靠和快速。但是，這是特定于MySQL的。相反，使用PDO將使您使用一些非常實(shí)用的面向?qū)ο蟮恼Z(yǔ)法，并將與其他SQL數(shù)據(jù)庫(kù)（如PostgreSQL，MS SQL等）一起為探戈做準(zhǔn)備。此外，PDO將讓您使用名為參數(shù)，這是一項(xiàng)非常有用的功能，很少有人能想象在適當(dāng)?shù)乩盟髸?huì)去其他任何東西。最后但并非最不重要的一點(diǎn)是：您可以將獲取的數(shù)據(jù)直接注入新對(duì)象，這在大型項(xiàng)目中是一個(gè)令人愉快的時(shí)間。
3。不重寫URL
>另一個(gè)通常被忽略且易于解決的問(wèn)題。像myapp.com/index.php？p = 34＆g = 24之類的URL在當(dāng)今時(shí)代不可接受。由于很難編寫一個(gè)良好的URL重寫指南，該指南將涵蓋每個(gè)服務(wù)器和框架，因此幾乎每個(gè)框架都有一個(gè)指南，有關(guān)如何設(shè)置干凈的URL（Laravel，Phalcon，Symfony，Symfony，Zend）和任何不'只是不值得使用 - 他們顯然不在乎現(xiàn)代實(shí)踐。
4。抑制錯(cuò)誤
>我在上一篇文章中寫了這一點(diǎn)，但值得一提。每當(dāng)您發(fā)現(xiàn)自己使用 @操作員時(shí)，重新考慮并從其他角度仔細(xì)解決問(wèn)題。當(dāng)我說(shuō)圍繞應(yīng)用程序功能周圍的20條樣板卷曲代碼比單線 @ operator在其前面的一行時(shí)，請(qǐng)說(shuō)出我的話。
>>我通過(guò)個(gè)人實(shí)驗(yàn)發(fā)現(xiàn)，一個(gè)好的方法是我在原始帖子中提倡的方法 - 將所有通知變成致命錯(cuò)誤。確保
沒(méi)有
登錄到錯(cuò)誤日志中，因?yàn)閺淖置嫔峡?p>> log> 比假裝大便更好地通過(guò)在您的眼前握住 @ the the the the the the the the the the the。 >我們最近介紹了一些Heroku附加組件，用于生產(chǎn)Ready PHP應(yīng)用程序，其中之一是出色的紙質(zhì)編寫片 - 一種附加組件，可讓您將所有應(yīng)用程序的錯(cuò)誤推向其后端，以便于稍后搜索，分組和淘汰在;因此，即使確實(shí)發(fā)生了一些錯(cuò)誤，最好讓它們記錄并通過(guò)修復(fù)代碼來(lái)擺脫它們，而不是沉默它們并在用戶面前玩愚蠢。5。在條件下分配
>即使是經(jīng)驗(yàn)豐富的開發(fā)人員有時(shí)會(huì)有一條手指滑動(dòng)，然后寫（$ condition ='value'）{而不是if（$ condition =='value'）{。我們的手會(huì)滑倒，鍵盤不會(huì)注冊(cè)按鍵，我們最終會(huì)從分配實(shí)際發(fā)生的代碼的另一部分粘貼 - 發(fā)生了 - 通常只有在運(yùn)行應(yīng)用程序時(shí)才發(fā)現(xiàn)。
有幾種完全避免這種情況的方法：>
- 使用一個(gè)體面的IDE。任何好的IDE（例如PhpStorm）都會(huì)在檢測(cè)到它們時(shí)警告您。
- 使用“ YODA條件”。您會(huì)在許多受歡迎的項(xiàng)目，甚至大型框架中看到這些。通過(guò)反轉(zhuǎn)比較（如（例如（'value'= $條件））{）{），較弱的IDE也會(huì)注意到問(wèn)題。有些人認(rèn)為Yoda語(yǔ)法令人討厭且毫無(wú)意義，這是一個(gè)應(yīng)該沒(méi)有的生命線（“對(duì)您的代碼，該死更加謹(jǐn)慎”），但是對(duì)每個(gè)人都有自己的幫助 - 如果對(duì)某人有幫助，我全都為此。如果我們都是精英人士，那么WordPress和Zend框架就將不存在。 只需牢記它，您就會(huì)每次編寫它都會(huì)形成眼睛反射。它只需要練習(xí)，但是它甚至是最好的開發(fā)人員，那就是1。和2。
- 6。太透明
- 說(shuō)這可能引起一些爭(zhēng)議，但無(wú)論如何。除非您對(duì)框架的開發(fā)人員有100％的信心，否則不經(jīng)營(yíng)高保羅，交通高級(jí)業(yè)務(wù)關(guān)鍵應(yīng)用程序，否則您應(yīng)該始終努力掩蓋您的后端方式 - 不要廣播您的應(yīng)用程序基于哪個(gè)框架實(shí)際上是基于CAN的框架如果發(fā)現(xiàn)該框架的安全漏洞，請(qǐng)幫助防止攻擊。例如：
在這推文中，對(duì)嚴(yán)重的代碼注入問(wèn)題的了解正在廣播到公共領(lǐng)域。如果您在工作，并且可以在沒(méi)有DevOps問(wèn)題的情況下立即升級(jí)并讓團(tuán)隊(duì)首先縮減，但是對(duì)于大多數(shù)使用Symfony的公司和公司而言，情況并非如此。即使可以通過(guò)作曲家升級(jí)Symfony（正如Ryan在下面的評(píng)論中提到的那樣），但通常需要一段時(shí)間才能在具有多層環(huán)境的大型團(tuán)隊(duì)中獲得批準(zhǔn)。所有使用此翻譯器方法聲明為Symfony用戶的網(wǎng)站是（曾經(jīng)？）。
在上面的示例中使用Symfony只是一個(gè)示例。多年來(lái)，無(wú)數(shù)其他軟件也出現(xiàn)了類似的情況?；氐轿胰匀簧虡I(yè)上使用Zend Framework時(shí)，我們也發(fā)生了這種情況，因此遭受了攻擊。 WordPress擁有其安全性的一部分，我們知道那里的網(wǎng)站有多高。這些事情發(fā)生了，有時(shí)，開源和透明度并不是處理公司大部分收入來(lái)源的應(yīng)用程序時(shí)的最佳方法。
7。不刪除開發(fā)配置
最后但并非最不重要的一點(diǎn)是，應(yīng)提及開發(fā)配置刪除。最近（這是一個(gè)誠(chéng)實(shí)的巧合，我再次在這里提到Symfony），CNET由于沒(méi)有消除其開發(fā)配置而遭受了攻擊。
> uhmmm no：http：//t.co/raqis1ycwq #security #symfony - Marco pivetta（@ocromius）2014年7月15日
世界上最大的科技新聞網(wǎng)站之一> CNET是基于Symfony的。眾所周知，Symfony為您的應(yīng)用程序提供了兩個(gè)入口點(diǎn)：app.php和app_dev.php。通過(guò)將瀏覽器指向一個(gè)，您可以獲得生產(chǎn)環(huán)境。通過(guò)指向_dev后綴的一個(gè)，您顯然會(huì)獲得開發(fā)版本，該版本具有調(diào)試器，敏感數(shù)據(jù)等。無(wú)論是好還是壞，都是許多討論的主題（再次感謝Ryan指出了這一點(diǎn)），但是不可否認(rèn)，它使一些更笨拙的開發(fā)人員對(duì)諸如CNET遭受的錯(cuò)誤打開了錯(cuò)誤。此外，當(dāng)在app_dev上訪問(wèn)的任何其他URL都將重定向到其他app_dev URL。換句話說(shuō)，不僅是在開發(fā)模式下啟動(dòng)的索引頁(yè)面，而且是整個(gè)網(wǎng)站 - 在CNET的情況下，這是很多訪問(wèn)權(quán)限。>
如果您在Twitter上進(jìn)行討論，它會(huì)非?？焖俚馗械诫y過(guò) - 甚至令人難過(guò)的是，它本來(lái)可以在第二秒的工作中避免的：開發(fā)人員可以從生產(chǎn)服務(wù)器中刪除app_dev.php
- >開發(fā)人員可以允許使用白名單的IPS訪問(wèn)app_dev.php，這是默認(rèn)情況下的工作方式，除非您放松這些限制。 >
- 這些方法中的任何一種都可以完全阻止所有問(wèn)題。請(qǐng)記住，當(dāng)推動(dòng)生產(chǎn)時(shí)，請(qǐng)確保您的開發(fā)配置是完全無(wú)法訪問(wèn)的，或者僅適用于白色的IPS集合。
結(jié)論
您對(duì)此列表有何看法？它涵蓋了共同方面還是太深?yuàn)W？您是否有一些更常見(jiàn)的陷阱，總共沒(méi)有提及？在下面的評(píng)論中讓我知道，如果您的建議是正確的，我們將更新帖子！
>以上是PHP開發(fā)人員常見(jiàn)的另外7個(gè)錯(cuò)誤的詳細(xì)內(nèi)容。更多信息請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣服圖片
Undresser.AI Undress
人工智能驅(qū)動(dòng)的應(yīng)用程序，用于創(chuàng)建逼真的裸體照片
AI Clothes Remover
用于從照片中去除衣服的在線人工智能工具。
Clothoff.io
AI脫衣機(jī)
Video Face Swap
使用我們完全免費(fèi)的人工智能換臉工具輕松在任何視頻中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費(fèi)的代碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
功能強(qiáng)大的PHP集成開發(fā)環(huán)境
Dreamweaver CS6
視覺(jué)化網(wǎng)頁(yè)開發(fā)工具
SublimeText3 Mac版
神級(jí)代碼編輯軟件(SublimeText3)
如何升級(jí)PHP版本？
Jun 27, 2025 am 02:14 AM
升級(jí)PHP版本其實(shí)不難，但關(guān)鍵在于操作步驟和注意事項(xiàng)。以下是具體方法：1.確認(rèn)當(dāng)前PHP版本及運(yùn)行環(huán)境，使用命令行或phpinfo.php文件查看；2.選擇適合的新版本并安裝，推薦8.2或8.1，Linux用戶用包管理器安裝，macOS用戶用Homebrew；3.遷移配置文件和擴(kuò)展，更新php.ini并安裝必要擴(kuò)展；4.測(cè)試網(wǎng)站是否正常運(yùn)行，檢查錯(cuò)誤日志確保無(wú)兼容性問(wèn)題。按照這些步驟操作，大多數(shù)情況都能順利完成升級(jí)。
PHP初學(xué)者指南：當(dāng)?shù)丨h(huán)境配置的詳細(xì)說(shuō)明
Jun 27, 2025 am 02:09 AM
要設(shè)置PHP開發(fā)環(huán)境，需選擇合適的工具并正確安裝配置。①最基礎(chǔ)的PHP本地環(huán)境需要三個(gè)組件：Web服務(wù)器（Apache或Nginx）、PHP本身和數(shù)據(jù)庫(kù)（如MySQL/MariaDB）；②推薦初學(xué)者使用集成包如XAMPP或MAMP，它們簡(jiǎn)化了安裝流程，XAMPP適用于Windows和macOS，安裝后將項(xiàng)目文件放入htdocs目錄并通過(guò)localhost訪問(wèn)；③MAMP適合Mac用戶，支持便捷切換PHP版本，但免費(fèi)版功能有限；④高級(jí)用戶可用Homebrew手動(dòng)安裝，在macOS/Linux系統(tǒng)中
在Linux上配置PHP開發(fā)環(huán)境的步驟
Jun 30, 2025 am 01:57 AM
TosetupaPHPdevelopmentenvironmentonLinux,installPHPandrequiredextensions,setupawebserverlikeApacheorNginx,testwithaPHPfile,andoptionallyinstallMySQLandComposer.1.InstallPHPandextensionsviapackagemanager(e.g.,sudoaptinstallphpphp-mysqlphp-curlphp-mbst
如何將兩個(gè)PHP陣列組合獨(dú)特的值？
Jul 02, 2025 pm 05:18 PM
要合并兩個(gè)PHP數(shù)組并保留唯一值，有兩種主要方法。1.對(duì)于索引數(shù)組或僅需值去重的情況，使用array_merge和array_unique組合：先用array_merge($array1,$array2)合并數(shù)組，再用array_unique()去重，最終得到包含所有唯一值的新數(shù)組；2.對(duì)于關(guān)聯(lián)數(shù)組且希望保留第一個(gè)數(shù)組中的鍵值對(duì)時(shí)，使用 運(yùn)算符：$result=$array1 $array2，這將確保第一個(gè)數(shù)組中的鍵不會(huì)被第二個(gè)數(shù)組覆蓋。這兩種方法分別適用于不同場(chǎng)景，根據(jù)是否需要保留鍵名或只關(guān)注
如何防止PHP中的跨站點(diǎn)偽造偽造（CSRF）攻擊？
Jun 28, 2025 am 02:25 AM
TopreventCSRFattacksinPHP,implementanti-CSRFtokens.1)Generateandstoresecuretokensusingrandom_bytes()orbin2hex(random_bytes(32)),savethemin$_SESSION,andincludetheminformsashiddeninputs.2)ValidatetokensonsubmissionbystrictlycomparingthePOSTtokenwiththe
PHP正則密碼強(qiáng)度
Jul 03, 2025 am 10:33 AM
判斷密碼強(qiáng)度需結(jié)合正則與邏輯處理，基礎(chǔ)要求包括：1.長(zhǎng)度不少于8位；2.至少含小寫字母、大寫字母、數(shù)字；3.可加入特殊字符限制；進(jìn)階方面需避免連續(xù)重復(fù)字符及遞增/遞減序列，這需PHP函數(shù)檢測(cè)；同時(shí)應(yīng)引入黑名單過(guò)濾常見(jiàn)弱密碼如password、123456；最終建議結(jié)合zxcvbn庫(kù)提升評(píng)估精度。
如何在PHP中牢固地處理文件上傳？
Jul 08, 2025 am 02:37 AM
要安全處理PHP文件上傳需驗(yàn)證來(lái)源與類型、控制文件名與路徑、設(shè)置服務(wù)器限制并二次處理媒體文件。1.驗(yàn)證上傳來(lái)源通過(guò)token防止CSRF并通過(guò)finfo_file檢測(cè)真實(shí)MIME類型使用白名單控制；2.重命名文件為隨機(jī)字符串并根據(jù)檢測(cè)類型決定擴(kuò)展名存儲(chǔ)至非Web目錄；3.PHP配置限制上傳大小及臨時(shí)目錄Nginx/Apache禁止訪問(wèn)上傳目錄；4.GD庫(kù)重新保存圖片清除潛在惡意數(shù)據(jù)。
在PHP中評(píng)論代碼
Jul 18, 2025 am 04:57 AM
PHP注釋代碼常用方法有三種：1.單行注釋用//或#屏蔽一行代碼，推薦使用//；2.多行注釋用/.../包裹代碼塊，不可嵌套但可跨行；3.組合技巧注釋如用/if(){}/控制邏輯塊，或配合編輯器快捷鍵提升效率，使用時(shí)需注意閉合符號(hào)和避免嵌套。
