在乌云漏洞平台上发现很多开源PHP程序存在漏洞。大部分漏洞都是因为对PHP中的变量过滤不够严格和未转义造成，直接使用了$_GET，$_PUT，$_COOKIE传过来的值，造成了sql注入（sql injection）和跨站攻击（xss）。事实上这些漏洞完全可以避免的。
先说sql注入。通常注入情况发生在参数过滤不严谨和拼接sql，所以尽量不要用sql拼接，尽量使用PDO或Mysqli。 继续阅读
PHP安全问题
发表评论
月度归档：2013年03月
PHP 自动加载类
老的项目很多不规范，到处都是require/include_once。为了不再到处写require/include(_once)了，应该给项目写个自动加载器了，避免重复加载和建立规范。个人觉得require_once和require之间的性能差异不大，特别是开启了APC缓存后,手动加载和自动加载之间的差异也不大。关于APC缓存类文件有争议，建议阅读参考链接和相关评论。
function autoloader($class){
if (class_exists($class, false) || interface_exists($class, false)) {//如果已存在就不需要了
return;
}
$directorys = array(
MVC_PATH.'/'.'library'.'/',
MVC_PATH.'/'
);
$file = str_replace('_', '/', $class) . '.php';//对类命名进行文件路径解析映射
foreach($directorys as $directory){
if(file_exists($directory.$file)){
require_once($directory.$file);
return;
}
}
}
spl_autoload_register(autoloader);
在Yaf中应用Zend_Log
Zend Framework是Zend 官方用PHP写的一套MVC框架，里面包含了诸多组件，可以单独使用，但是在PHP的MVC框架中的性能评测中总是处于下风。在之前的项目中有使用过Zend Framework，对于结构和代码的规范有比较好的帮助，类库也非常全面，所以想在其他的一些项目中也能够应用到Zend Framework的一些Library。Yaf是国内牛人仿Zend Framework开发的一个PHP MVC框架的C扩展，性能较Zend Framework有巨大的提升，但是不如Zend Framework全面，更侧重于前端控制，大概后端用其方法来做更好。Yaf的文档少了些，而Zend Framework的应用则比较多，社区支持也更广泛。所以在新的项目采用了Yaf做为前端的分发管理器，结合Zend Framework的类库来进行开发。
本文是关于Zend_Log中添加Zend_Log_Writer_Firebug无效，不能输出到firebug的解决方法。其实这个问题刚好在其他项目中应用的时候也有碰到，之后在stackoverflow上找到了答案，原来是这个功能还依赖于Zend_Wildfire_Channel_HttpHeaders，又需要Zend_Controller_Request_Http和Zend_Controller_Response_Http。于是就仿着写了一个Yaf扩展，代码如下： 继续阅读
PHP脚本建立中国县市数据库
在做快递查询的时候需要一个中国的县市数据库，由于之前的人做行政区域是用了一个Javascript脚本做的不好在后台动态交互，在网上看到了一篇关于建立中国行政区域数据库的文章，非常好，mark一下，以免以后找不到。首先需要到国家统计局下载最新的文档（打开最新的页面，全部复制下来另存为region.txt）。然后建一个数据库表region
CREATE TABLE `region` ( `id` int(10) unsigned NOT NULL, `parent_id` int(10) unsigned NOT NULL, `name` varchar(20) NOT NULL, PRIMARY KEY (`id`) )ENGINE=MYISAM DEFAULT CHARSET=utf8;
在相同目录下建立一个文件region.php，代码如下 继续阅读
PHP 使用ZipArchive压缩文件并下载
网站上需要提供一些打印数据给用户下载，这些文件每次都需要重新生成，因为随时都会有新的数据产生。网络上关于PHP的压缩功能实现有多种方式，比如PclZip,ZipArchive等。PclZip是使用PHP写的一个压缩解压类，方便使用，不用安装扩展；而ZipArchive则在PHP 5.3之后随PHP携带发行，不需要再去开启扩展。本文则使用PHP自带的ZipArchive进行文档压缩。
由于还要提供给用户下载，这里参考了网络上下载类，以下为downlaod.class.php代码 继续阅读