1、SQL注入
SQL注入是一种恶意攻击，用户利用在表单字段输入SQL语句的办法来影响正常的SQL实行。
上面的代码，在第一行没有过滤或转义用户输入的值($_POST['username'])。因此查询可能会失落败，乃至会破坏数据库，这要看$username是否包含变换你的SQL语句到别的东西上。
防止SQL注入选项：
1),利用mysql_real_escape_string()过滤数据
2),手动检讨每一数据是否为精确的数据类型
3),利用预处理语句并绑定变量
4),利用准备好的预处理语句
5),分离数据和SQL逻辑
6),预处理语句将自动过滤(如：转义)
7),把它作为一个编码规范，可以帮助团队里的新人避免碰着以上问题
2、XSS攻击
XSS（Cross Site Scripting：跨站脚本）是一种攻击，由用户输入一些数据到你的网站，个中包括客户端脚本(常日JavaScript)。如果你没有过滤就输出数据到另一个web页面，这个脚本将被实行。
吸收用户提交的文本内容
输出内容给(另一个)用户
<form action='xss.php' method='POST'>Enter your comments here: <br /><textarea name='comment'></textarea> <br /><input type='submit' value='Post comment' /></form><hr /><br /><?php echo $comments; ?>
将会发生什么事?
烦人的弹窗,刷新或重定向,破坏网页或表单,盗取cookie,AJAX(XMLHttpRequest)
防止XSS攻击
为了防止XSS攻击，利用PHP的htmlentities()函数过滤再输出到浏览器。htmlentities()的基本用法很大略，详细可查看下手册。
到了这里很多人可能会以为学习PHP有点不知所措，我为大家准备了一套佳构PHP教程，有各种根本，框架等，如果你已经会了，想要进阶中高等PHP，我这里专注于PHP中高等进阶的教程，点击下方标题链接即可获取方法！
全套laravel框架、ThinkPHP框架全套教程分享，PHP程序员福利！
PHP开拓三年只懂增编削查？那是你没有方案好php学习路线
3、会话固定
会话安全，假设一个PHPSESSID很难预测。然而，PHP可以接管一个会话ID通过一个Cookie或者URL。因此，欺骗一个受害者可以利用一个特定的(或其他的)会话ID 或者钓鱼攻击。
4、会议捕获和挟制
这是与会话固定有着同样的想法，然而，它涉及盗取会话ID。如果会话ID存储在Cookie中，攻击者可以通过XSS和JavaScript盗取。如果会话ID包含在URL上，也可以通过嗅探或者从代理做事器那得到。
防止会话捕获和挟制
1),更新ID
2),如果利用会话，请确保用户利用SSL
5、跨站点要求假造(CSRF)
CSRF攻击，是指一个页面发出的要求，看起来就像是网站的信赖用户，但不是故意的。它有许多的变体，比如下面的例子
<img src='http://itcast.cn/want_buy_food.php?user_id=12345&item=12345'>
防止跨站点要求假造
一样平常来说，确保用户来自你的表单，并且匹配每一个你发送出去的表单。有两点一定要记住：
1),对用户会话采取适当的安全方法，例如:给每一个会话更新id和用户利用SSL。
2),天生另一个一次性的令牌并将其嵌入表单，保存在会话中(一个会话变量)，在提交时检讨它。
6、代码注入
代码注入是利用打算机漏洞通过处理无效数据造成的。问题出在，当你欠妥心实行任意代码，常日通过文件包含。写得很糟糕的代码可以许可一个远程文件包含并实行。如许多PHP函数，如require可以包含URL或文件名，例如：
<form>Choose theme:<SELECT name = theme><option value = blue>Blue</option><option value = green>Green</option><option value = red>Red</option></SELECT><input type = submit></form><?phpif($theme) { require($theme.'.txt');}?>
在上面的例子中，通过通报用户输入的一个文件名或文件名的一部分，来包含以\公众http://\公众开头的文件。
防止代码注入
1),过滤用户输入
2),在php.ini中设置禁用allow_url_fopen和allow_url_include。这将禁用require/include/fopen的远程文件。
其他的一样平常原则:
本帖隐蔽的内容
1). 不要依赖做事器配置来保护你的运用，特殊是当你的web做事器/ PHP是由你的ISP管理，或者当你的网站可能迁移/支配到别处，未来再从别处迁移/支配在到其他地方。请在网站代码中嵌入带有安全意识的检讨/逻辑(HTML、JavaScript、PHP,等等)。
2). 设计做事器真个安全脚本:
—例如,利用单行实行 - 单点身份验证和数据清理
—例如,在所有的安全敏感页面嵌入一个PHP函数/文件，用来处理所有登录/安全性逻辑检讨
3). 确保你的代码更新，并打上最新补丁。
