php安全

tp框架的安全：

TP系统提供了I函数用于输入变量的过滤。整个函数主体的意义就是获取各种格式的数据，比如I('get.')、I('post.id')，然后用htmlspecialchars函数（默认情况下）进行处理。

如果需要采用其他的方法进行安全过滤，可以从/ThinkPHP/Conf/convention.php中设置：

    'DEFAULT_FILTER'    => 'strip_tags',
    //也可以设置多种过滤方法
    'DEFAULT_FILTER'    => 'strip_tags,stripslashes',

另外 在php.ini里面的设置也可以保证一些安全：

打开php的安全模式
　　php的安全模式是个非常重要的内嵌的安全机制，能够控制一些php中的函数，比如system()，
　　同时把很多文件操作函数进行了权限控制，也不允许对某些关键文件的文件，比如/etc/passwd，
　　但是默认的php.ini是没有打开安全模式的，我们把它打开：
　　safe_mode = on

用户组安全
　　当safe_mode打开时，safe_mode_gid被关闭，那么php脚本能够对文件进行访问，而且相同
　　组的用户也能够对文件进行访问。
　　建议设置为：
　　safe_mode_gid = off
　　如果不进行设置，可能我们无法对我们服务器网站目录下的文件进行操作了，比如我们需要
　　对文件进行操作的时候。

关闭PHP版本信息在http头中的泄漏
　　我们为了防止黑客获取服务器中php版本的信息，可以关闭该信息斜路在http头中：
　　expose_php = Off
　　比如黑客在 telnet www.12345.com 80 的时候，那么将无法看到PHP的信息

打开magic_quotes_gpc来防止SQL注入
　　SQL注入是非常危险的问题，小则网站后台被入侵，重则整个服务器沦陷，
　　所以一定要小心。php.ini中有一个设置：
　　magic_quotes_gpc = Off
　　这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，
　　比如把 ' 转为 \'等，这对防止sql注射有重大作用。所以我们推荐设置为：
　　magic_quotes_gpc = On

错误信息控制
　　一般php在没有连接到数据库或者其他情况下会有提示错误，一般错误信息中会包含php脚本当
　　前的路径信息或者查询的SQL语句等信息，这类信息提供给黑客后，是不安全的，所以一般服务器建议禁止错误提示：
　　display_errors = Off
　　如果你却是是要显示错误信息，一定要设置显示错误的级别，比如只显示警告以上的信息：
　　error_reporting = E_WARNING & E_ERROR
　　当然，我还是建议关闭错误提示。