在商业互联网日益繁荣的今天，网站安全一直是一个热门的话题。因安全漏洞造成的信息泄露、财产损失也是大家都不希望的。目前以php为后端语言的网站占据主流，我们今天就以php来讲述安全注意点。
常见侵入系统的方式：命令注入，跨站脚本，文件包含，代码注入，SQL注入，XPath注入，HTTP响应拆分，文件管理，文件上传，变量覆盖，动态函数
会话安全：httponly设置，domain设置，path设置，cookies持续时间，secure设置，session固定，CSRF
加密：明文储存密码，密码弱加密，密码储存在攻击者能访问到的文件
认证和授权：用户认证，函数或文件的未认证调用，密码硬编码
立即学习“PHP免费学习笔记（深入）”；
随机函数：rand()，mt_srand和mt_rand()
特殊字符和多字节编码：多字节编码
PHP危险函数：缓冲区溢出，session_destroy()删除文件漏洞，unset()-zend_hash_del_key_or_index漏洞
套采用php+mysql的多用户网上商城系统，安全、负载量高，访问迅捷，能与论坛、博客、CMS等系统整合并支持一站登陆。功能包括用户管理、商品管理、订单管理、销售统计、广告/公告管理、附件管理等，这些管理权限与用户等级挂钩。内置多套模板，支持界面个性化设计和人性化的采购方式。系统内置贝宝、支付宝、快钱在线等支付网关以及QQ、旺旺、雅虎通即时网络通讯工具。
信息泄露：phpinfo
PHP环境：open_basedir设置，allow_url_fopen设置，allow_url_include设置，safe_mode_exec_dir设置，magic_quote_apc设置，register_globals设置，safe_mode设置，session_usee_trans_sid设置，displiay_errors设置，expose_php设置
XSS的注入点：HTML元素、元素属性值、URL查询、CSS属性值、Javascript变量
相关阅读;
