PHP 安全信息？

Question

假设我有一个网站

• 已安装 PHP 5.3
• 每个输出都经过 htmlspecialchars() 编辑。
• PDO 和准备好的语句是与数据库交互的唯一方式
• error_reporting() 已关闭
• 每个请求都会传递到index.php(前端 Controller )，并且除了通过.htaccess访问index.php之外，不允许直接访问文件
• 每个输入都被正确转义(为什么我应该？我使用准备好的语句，用户输入怎么会弄乱我的代码？)
• 没有使用evil()

这被认为是安全的吗？还可以修复哪些其他问题来提高安全性？你怎么能攻击它呢？破解它？ PHP/服务器端是否可以提高安全性？

Answer 1

查看此页面:PHP Security Guide 。大多数攻击都有记录。如果实现这些安全检查后，您仍然遭到黑客攻击，则问题很可能不是来自您的 PHP 应用程序。

顺便说一句，正如 @Jacco 所说，我链接到的文章中有一些错误的内容。

1. 使用准备好的语句而不是 mysql_real_escape_string()，但您已经这样做了。
2. 关于加盐，请遵循以下答案:https://stackoverflow.com/a/401684/851498
3. 最后，检查 ['type'](用于文件上传)是不安全的，因为恶意用户可以更改此值。相反，请参阅此链接的建议解决方案:http://www.acunetix.com/websitesecurity/upload-forms-threat.htm