登录验证一般是用cookie的,当然用session也可以.
原理很简单：
①登录页面获得表单并验证是否正确.正确则进入系统,并设置cookie；错误则继续登录.
【第一段：在服务器端配置】
安全,PHP代码编写是一方面,PHP的配置更是非常关键.
(1) 打开php的安全模式
php的安全模式是个非常重要的内嵌的安全机制,能够控制一些php中的函数,比如system(),
同时把很多文件操作函数进行了权限控制,也不允许对某些关键文件的文件,比如/etc/passwd,
但是默认的php.ini是没有打开安全模式的,我们把它打开：
safe_mode = on
当safe_mode打开时,safe_mode_gid被关闭,那么php脚本能够对文件进行访问,而且相同
组的用户也能够对文件进行访问.
建议设置为：
safe_mode_gid = off
如果不进行设置,可能我们无法对我们服务器网站目录下的文件进行操作了,比如我们需要
对文件进行操作的时候.
如果安全模式打开了,但是却是要执行某些程序的时候,可以指定要执行程序的主目录：
safe_mode_exec_dir = D:/usr/bin
一般情况下是不需要执行什么程序的,所以推荐不要执行系统程序目录,可以指向一个目录,
然后把需要执行的程序拷贝过去,比如：
safe_mode_exec_dir = D:/tmp/cmd
但是,我更推荐不要执行任何程序,那么就可以指向我们网页目录：
safe_mode_exec_dir = D:/usr/www
如果要在安全模式下包含某些公共文件,那么就修改一下选项：
safe_mode_include_dir = D:/usr/www/include/
其实一般php脚本中包含文件都是在程序自己已经写好了,这个可以根据具体需要设置.
使用open_basedir选项能够控制PHP脚本只能访问指定的目录,这样能够避免PHP脚本访问
不应该访问的文件,一定程度上限制了phpshell的危害,我们一般可以设置为只能访问网站目录：
open_basedir = D:/usr/www
如果打开了安全模式,那么函数禁止是可以不需要的,但是我们为了安全还是考虑进去.比如,
我们觉得不希望执行包括system()等在那的能够执行命令的php函数,或者能够查看php信息的
phpinfo()等函数,那么我们就可以禁止它们：
disable_functions = system,passthru,exec,shell_exec,popen,phpinfo
如果你要禁止任何文件和目录的操作,那么可以关闭很多文件操作
disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown
以上只是列了部分不叫常用的文件处理函数,你也可以把上面执行命令函数和这个函数结合,
就能够抵制大部分的phpshell了.
我们为了防止黑客获取服务器中php版本的信息,可以关闭该信息斜路在http头中：
expose_php = Off
在PHP中提交的变量,包括使用POST或者GET提交的变量,都将自动注册为全局变量,能够直接访问,
这是对服务器非常不安全的,所以我们不能让它注册为全局变量,就把注册全局变量选项关闭：
register_globals = Off
当然,如果这样设置了,那么获取对应变量的时候就要采用合理方式,比如获取GET提交的变量var,
那么就要用$_GET['var']来进行获取,这个php程序员要注意.
SQL注入是非常危险的问题,小则网站后台被入侵,重则整个服务器沦陷,
所以一定要小心.php.ini中有一个设置：
magic_quotes_gpc = Off
这个默认是关闭的,如果它打开后将自动把用户提交对sql的查询进行转换,
比如把 ' 转为 \'等,这对防止sql注射有重大作用.所以我们推荐设置为：
magic_quotes_gpc = On
(10) 错误信息控制
一般php在没有连接到数据库或者其他情况下会有提示错误,一般错误信息中会包含php脚本当
前的路径信息或者查询的SQL语句等信息,这类信息提供给黑客后,是不安全的,所以一般服务器建议禁止错误提示：
如果你却是是要显示错误信息,一定要设置显示错误的级别,比如只显示警告以上的信息：
error_reporting = E_WARNING E_ERROR
当然,我还是建议关闭错误提示.
(11) 错误日志
log_errors = On
同时也要设置错误日志存放的目录,建议根apache的日志存在一起：
注意：给文件必须允许apache用户的和组具有写的权限.
MYSQL的降权运行
新建立一个用户比如mysqlstart
net user mysqlstart fuckmicrosoft /add
net localgroup users mysqlstart /del
不属于任何组
如果MYSQL装在d:\mysql ,那么,给 mysqlstart 完全控制 的权限
然后在系统服务中设置,MYSQL的服务属性,在登录属性当中,选择此用户 mysqlstart 然后输入密码,确定.
重新启动 MYSQL服务,然后MYSQL就运行在低权限下了.
如果是在windos平台下搭建的apache我们还需要注意一点,apache默认运行是system权限,
这很恐怖,这让人感觉很不爽.那我们就给apache降降权限吧.
net user apache fuckmicrosoft /add
net localgroup users apache /del
ok.我们建立了一个不属于任何组的用户apche.
我们打开计算机管理器,选服务,点apache服务的属性,我们选择log on,选择this account,我们填入上面所建立的账户和密码,
重启apache服务,ok,apache运行在低权限下了.
实际上我们还可以通过设置各个文件夹的权限,来让apache用户只能执行我们想让它能干的事情,给每一个目录建立一个单独能读写的用户.
这也是当前很多虚拟主机提供商的流行配置方法哦,不过这种方法用于防止这里就显的有点大材小用了.
【第二段：在PHP代码编写】
当然addslashes也不是毫无用处,它是用于单字节字符串的处理,多字节字符还是用mysql_real_escape_string吧.
另外对于php手册中get_magic_quotes_gpc的举例：
if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST['lastname']);
} else {
$lastname = $_POST['lastname'];
}
最好对magic_quotes_gpc已经开放的情况下,还是对$_POST['lastname']进行检查一下.
当前字符集,而mysql_escape_string 不考虑.
最后提醒一下大家：
* addslashes() 是强行加\；
* mysql_real_escape_string() 会判断字符集,但是对PHP版本有要求；
* mysql_escape_string不考虑连接的当前字符集.
-------------------------------------------------------------------------------------------------
在PHP编码的时候,如果考虑到一些比较基本的安全问题,首先一点：
① 初始化你的变量
为什么这么说呢?我们看下面的代码：
PHP代码
php
if ($admin)
{
echo '登陆成功！';
include('admin.php');
else
echo '你不是管理员,无法进行管理！';
好,我们看上面的代码好像是能正常运行,没有问题,那么加入我提交一个非法的参数过去呢,那么效果会如何呢?比如我们的这个页是,那么我们提交：,呵呵,你想一些,我们是不是直接就是管理员了,直接进行管理.
当然,可能我们不会犯这么简单错的错误,那么一些很隐秘的错误也可能导致这个问题,比如phpwind论坛有个漏洞,导致能够直接拿到管理员权限,就是因为有个$skin变量没有初始化,导致了后面一系列问题.那么我们如何避免上面的问题呢?首先,从php.ini入手,把php.ini里面的register_global =off,就是不是所有的注册变量为全局,那么就能避免了.但是,我们不是服务器管理员,只能从代码上改进了,那么我们如何改进上面的代码呢?我们改写如下：
$admin = 0; // 初始化变量
if ($_POST['admin_user'] $_POST['admin_pass'])
// 判断提交的管理员用户名和密码是不是对的相应的处理代码
// ...
$admin = 1;
$admin = 0;
那么这时候你再提交就不好使了,因为我们在一开始就把变量初始化为 $admin = 0 了,那么你就无法通过这个漏洞获取管理员权限.
SQL 注射应该是目前程序危害最大的了,包括最早从asp到php,基本上都是国内这两年流行的技术,基本原理就是通过对提交变量的不过滤形成注入点然后使恶意用户能够提交一些sql查询语句,导致重要数据被窃取、数据丢失或者损坏,或者被入侵到后台管理.
那么我们既然了解了基本的注射入侵的方式,那么我们如何去防范呢?这个就应该我们从代码去入手了.
我们知道Web上提交数据有两种方式,一种是get、一种是post,那么很多常见的sql注射就是从get方式入手的,而且注射的语句里面一定是包含一些sql语句的,因为没有sql语句,那么如何进行,sql语句有四大句：select 、update、delete、insert,那么我们如果在我们提交的数据中进行过滤是不是能够避免这些问题呢?
于是我们使用正则就构建如下函数：
function inject_check($sql_str)
return eregi('select|insert|update|delete|'|
function verify_id($id=null)
if (!$id) { exit('没有提交参数！'); } // 是否为空判断
elseif (inject_check($id)) { exit('提交的参数非法！'); } // 注射判断
elseif (!is_numeric($id)) { exit('提交的参数非法！'); } // 数字判断
$id = intval($id); // 整型化
return $id;
呵呵,那么我们就能够进行校验了,于是我们上面的程序代码就变成了下面的：
if (inject_check($_GET['id']))
exit('你提交的数据非法,请检查后重新提交！');
$id = verify_id($_GET['id']); // 这里引用了我们的过滤函数,对$id进行过滤
echo '提交的数据合法,请继续！';
好,问题到这里似乎都解决了,但是我们有没有考虑过post提交的数据,大批量的数据呢?
比如一些字符可能会对数据库造成危害,比如 ' _ ', ' %',这些字符都有特殊意义,那么我们如果进行控制呢?还有一点,就是当我们的php.ini里面的magic_quotes_gpc = off的时候,那么提交的不符合数据库规则的数据都是不会自动在前面加' '的,那么我们要控制这些问题,于是构建如下函数：
function str_check( $str )
if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否打开
$str = addslashes($str); // 进行过滤
$str = str_replace("_", "\_", $str); // 把 '_'过滤掉
$str = str_replace("%", "\%", $str); // 把' % '过滤掉
return $str;
我们又一次的避免了服务器被沦陷的危险.
最后,再考虑提交一些大批量数据的情况,比如发贴,或者写文章、新闻,我们需要一些函数来帮我们过滤和进行转换,再上面函数的基础上,我们构建如下函数：
function post_check($post)
if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否为打开
$post = addslashes($post); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤
$post = str_replace("_", "\_", $post); // 把 '_'过滤掉
$post = str_replace("%", "\%", $post); // 把' % '过滤掉
$post= htmlspecialchars($post); // html标记转换
return $post;
呵呵,基本到这里,我们把一些情况都说了一遍,其实我觉得自己讲的东西还很少,至少我才只讲了两方面,再整个安全中是很少的内容了,考虑下一次讲更多,包括php安全配置,apache安全等等,让我们的安全正的是一个整体,作到最安全.
你把以下两个文件改动下：
文件第一段：panduan.php改动如下
/**
* 判断文本中是否存在关键词
*/
function filter_text($text, $badstring){
$filter = explode('|', $badstring);
foreach ($filter as $key) {
if(strpos($text, $key) !== false){
return $key;//这里将原来的true改为$key,目的是为了将违规的词返回
return false;
文件三：index.php
require_once("panduan.php");
require_once("filter.php");
$biaoti="如果包含此内容就不能通过！";
if($word = filter_text($biaoti, $badstring)){//改动：此处将filter_text方法的返回值赋值给$word
echo "对不起,你提交的内容包含"{$word}"文字不能发表,请删除"{$word}"文字后再提交！";//将word值打印出来
exit();
你将这两个文件有注视的位置改下就行了.如果不行你可以加我百度hi,希望能帮到你.
在java、python等语言中,异常对于我们来说已经是必不可少的错误处理方式.异常处理是面向对象编程中的一种很强大的特性,然而很多PHPer对它不了解,甚至认为它会破坏代码结构.即使在很多开源项目中,也难以见到异常的踪影.那么,PHP中的异常,到底有没有意义呢?
PHP有两种错误处理机制,一种是内置错误,一种是异常.
内置错误,包含error、warning、notice等错误类型.很多PHP的内置函数,和一些PHP扩展,都会使用这种类型的错误.此类错误的优势是处理起来比较方便.不重要的错误,可以通过配置php选项来忽略它.我们甚至可以通过set_error_handler()函数,来集中处理非致命的错误.但是,PHP的宽容往往会让程序员养成一个坏习惯,那就是在代码中留下大量warning、notice级别的错误.这样对程序的调试和后期维护带来很多不便.而且致命的错误（Fatal Error）,是没有办法处理的.这也是PHP的一大硬伤.
在PHP中使用异常有以下优势：
第一段：异常能提高程序的健壮性.
第二段：异常处理能增强程序的可维护性.
函数应该有一系列的输入,并且有唯一的输出.在参数不正确、或者发生系统错误时,我们需要告知使用者发生了什么样的错误,便于使用者处理和记录.
利用返回值、引用变量来返回错误在PHP程序中很常见：
假如函数被修改为这样：
使用异常,在执行失败时抛出异常,可以让函数的输出非常干净,避免额外的处理.减少了代码量,也增强了程序的可维护性.
第三段：使用异常有助于我们集中处理错误.
在程序抛出异常时,只要没有遇到try catch,异常会逐渐向函数调用堆栈顶层传递.这样我们不需要每一层都处理错误.我们可以在程序的入口处集中处理所有未处理的异常,有助于我们发现潜在的程序BUG.而一个只会返回正常处理结果和错误代码的函数,在其出错时不得不立即处理.如果我们想在代码顶层再处理这个错误,就不得不一层一层返回这个错误,给程序设计带来很多不便.
综上,我们应该尽量使用异常,保证程序的可靠性.
是否可以解决您的问题?
sql语句问题是没有必要拦截的,如果把sql语句输出来让用户看到是件危险的事情,至于数据库或其他异常,可以参考set_error_handler(array('错误处理类', '方法')),然后建立一个自己的错误处理类和方法,自己对错我进行处理,上面的函数也能让php触发错误时自动调用
记得采纳啊