‘壹’ php开发api接口,如何做才算是安全的
这个问题很深
安全，不敢当，因为web安全问题很多，不仅仅是PHP编码而已，有很多安全上的问题需要做处理，像服务器漏洞、端口开放都会导致被黑，这都是很正常的。
只能说 比如在我做PHP开发过程的一些安全保护和在网络安全公司开发时的工作要求：
1、最基础的，提供的api接口 要配置https。
2、api返回响应的信息，要尽可能使用消息加密返回，如高位数的 rsa加密内容。
3、接收的回调开放接口，尽可能做到使用回调黑、白名单，如加ip白名单放行，或ip黑名单禁止访问。
4、不要相信用户输入、输入信息要进行编码转换、转义、过滤、使用框架和插件进行处理，如MySQL查询的要进行参数绑定、如显示问题要避免xss攻击会进行过滤。
5、授权操作，错误限制设置阀值、超过阀值限制访问、如最基础的登录功能。
6、常见额弱口令问题导致漏铜，应设置高强度口令，避免程序爆破。
7、文件上传问题、应严格校验文件类型、后缀、格式、及文件目录权限设置，从而避免文件上传漏洞导致恶意代码或webshell攻击。
8、开发环境和生产环境隔开，不要再生产上面开debug、及时更新使用框架漏洞补丁如PHP国内常用 tp系列以前偶尔爆出漏洞（我用的较多就是tp5 ....），还有框架不要用最新要选择最稳定的。
最后注意不管是验证还是过滤，在客户端执行过一次也好，在服务端，都要再次执行验证和校验。
和盛之文 我的文章保存网站，欢迎访问学习或参考
‘贰’ php开发app接口要注意什么
utf8编码,请求验证,数据通用加密方式,异常处理,超时处理;通用加密可以参考下这http://www.cnblogs.com/pengxl/p/3967040.html
‘叁’ 如何用PHP开发API接口
他会提供相应接口给你的，具体调用方法就相当于讲求某个链接。act=get_user_list&type=json在这里operate.php相当于一个接口，其中get_user_list 是一个API（获取用户列表），讲求返回的数据类型为JSON格式。
act=get_user_list&type=json';$ch=curl_init();curl_setopt($ch,CURLOPT_URL,$url);curl_setopt($ch,CURLOPT_RETURNTRANSFER,1);curl_setopt($ch,CURLOPT_CONNECTTIMEOUT,10);curl_setopt($ch,CURLOPT_POST,1);//启用POST提交$file_contents=curl_exec($ch);curl_close($ch);
‘肆’ 如何利用PHP语言开发平台第三方支付接口
第一步：签订合约通过第三方拿到接口（可以邮件形式发送、也可以在第三方系统下载），拿到接口后，要确认下接口类型，是否是自己需要的接口，比如B2C接口、B2B接口等类型。
第二步：支付接口分很多语言版本，比如ASP、JSP、PHP、.NET语言版本，所以要选择与自己网站语言匹配的接口进行安装。商城网站的技术一般比较清楚商城的开发语言。
第三步：拿到的支付接口一般包括接口文档和接口代码示例，选择合适的接口代码示例，进行联调，比如自己网站是PHP开发的，就选择PHP代码示例联调。
第四步：接口联调的时候，需要第三方支付提供联调测试账号，方可以联调。联调除了需要联调账号除外，还需要该账号的支付密钥，联调过程中，有什么问题，可以直接找第三方支付技术支持给予协调处理。
第五步：接口联调通过后，可先换成生产环境账号，进行交易测试，测试没问题后，可以放到商城网站进行交易。
‘伍’ PHP开发APP接口需要注意哪些问题
PHP开发APP接口需要注意下面问题：
1.制定规范
开发前一定要定好一个规范，比如要定好数据返回的通用参数和格式。关于数据格式，用的比较多的有xml和json，我建议用json，因为json比xml的好处更多。
2.精简的返回数据
接口数据因符合需要什么返回什么的原则，比如要查询某个用户的余额和注册时间，网页里面的做法可能是select * from user where
uid=1，但是接口一定要select balance,regtime from user where
uid=1。因为接口返回数据是要有开销的，要流量的，能少返回数据就尽量少返回，这样可以大大的提高性能。
3.数据类型要严格
要注意数据的类型，整数类型的数据一定要转为int，因为app客户端开发的java、object-c语言对数据类型比较严格，类型不对会照成app闪退。
4.要写接口文档
一定要写好接口文档，并按照模块写，而且还要书写规范，最好的格式是：
接口请求地址;请求参数(包括参数名、类型、是否必填);测试参数举例;返回参数(参数名，并注明每个参数的含义)。
这样哪怕以后项目很大，以不会照成维护困难的问题。
5.保证代码正确性
要验证保证代码正确无误，而且生成环境中要屏蔽掉错误，避免头部有额外的输出，照成返回的json等数据解析失败而导致app闪退等。
6.要优化代码的性能
app要求响应迅速，这样才能给用户比较好的体验感。所以移动接口端在处理业务逻辑的时候，要避免不要执行太复杂的sql语句，或者含有大量的循环，能做成缓存的尽量做缓存，比如将首页的热点模块信息可以存到redis缓存中。在不考虑网速的情况下，比较理想的接口响应时间应该是200毫秒以内。
7.不要随意更改旧接口
app不像网页，app一旦发布，有人使用之后，接口就不要乱修改了。以后升级也是，修改要在保证接口原有结构之上进行额外的扩展，否则会导致调用旧版接口的app出现bug。
8. 注意接口的安全
安全高于一切，必须要保证接口的安全。电话号码等敏感信息在传输的过程中一定要加密，否则可能会被别人抓包到。拿取用户信息的接口一定要验证权限，以防止接口被恶意调用，泄密用户信息，甚至篡改信息。
‘陆’ PHP开发中值得注意的问题是
php开发过程中，需要注意的安全细节，其实不只是php其它语言通用。
作为PHP程序员，特别是新手，对于互联网的险恶总是知道的太少，对于外部的入侵有很多时候是素手无策的，他们根本不知道黑客是如何入侵的、提交入侵、上传漏洞、sql 注入、跨脚本攻击等等。作为最基本的防范你需要注意你的外部提交，做好第一面安全机制处理防火墙。
规则 1：绝不要信任外部数据或输入
关于Web应用程序安全性，必须认识到的第一件事是不应该信任外部数据。外部数据(outside data) 包括不是由程序员在PHP代码中直接输入的任何数据。在采取措施确保安全之前，来自任何其他来源(比如 GET 变量、表单 POST、数据库、配置文件、会话变量或Cookie)的任何数据都是不可信任的。
规则 2：禁用那些使安全性难以实施的PHP设置
已经知道了不能信任用户输入，还应该知道不应该信任机器上配置 PHP 的方式。例如，要确保禁用 register_globals。如果启用了 register_globals，就可能做一些粗心的事情，比如使用 $variable 替换同名的 GET 或 POST 字符串。通过禁用这个设置，PHP 强迫您在正确的名称空间中引用正确的变量。要使用来自表单 POST 的变量，应该引用 $_POST['variable']。这样就不会将这个特定变量误会成 cookie、会话或 GET 变量。
规则 3：如果不能理解它，就不能保护它
一些开发人员使用奇怪的语法，或者将语句组织得很紧凑，形成简短但是含义模糊的代码。这种方式可能效率高，但是如果您不理解代码正在做什么，那么就无法决定如何保护它。例如，您喜欢下面两段代码中的哪一段?
规则 4：“纵深防御” 是新的法宝
本教程将用示例来说明如何保护在线表单，同时在处理表单的 PHP 代码中采用必要的措施。同样，即使使用 PHP regex 来确保 GET 变量完全是数字的，仍然可以采取措施确保 SQL 查询使用转义的用户输入。纵深防御不只是一种好思想，它可以确保您不会陷入严重的麻烦。既然已经讨论了基本规则，现在就来研究第一种威胁：SQL 注入攻击。
◆防止SQL注入攻击
在SQL注入攻击中，用户通过操纵表单或 GET 查询字符串，将信息添加到数据库查询中。例如，假设有一个简单的登录数据库。这个数据库中的每个记录都有一个用户名字段和一个密码字段。构建一个登录表单，让用户能够登录。
‘柒’ php如何开发API接口
比如一个自定义函数：function test(){echo ‘hello world’;}就可以叫做 api。api 既可以是单个的函数，也可以是封装在类里的方法，当然它们也是程序代码。开发一个 api 的流程可以很简单，也可以很复杂，视具体的编程任务而决定，并没有特定的规则。比如，你需要为自己建立一个常用的函数库，命名为 my.lib.php然后把你自己编写的自定义函数，全部写在这个文件里面，那么，你就拥有了自己的api。开发的时候，只需要引入 my.lib.php，你就可以调用自己的 api 了。这是一个比较简单的例子。稍微复杂一点的，你可以把函数封装在类里面，方便继承和重用，还可以根据函数名称做一些程序设计，这个一句话说不清楚，给一个简单的例子吧：class mylib{function showmy(){echo ‘这是我的一个类方法’;}}调用的时候，先要实例化类，然后再调用方法。再复杂一点的就是使用类接口，区别就是接口里面定义的只是方法原型，而你需要通过具体的类来实现接口中的函数，具体请参考 php 手册
‘捌’ php接口开发教程
PHP与大多数面向对象编程语言一样,不支持多重继承.也就是说每个类只能继承一个父类.为了解决这个问题,PHP引入了接口,接口的思想是指定了一个实现了该接口的类必须实现的一系列方法.接口是一种特殊的抽象类，抽象类又是一种特殊的类，所以接口也是一种特殊的类，为什么说接口是一种特殊的抽象类呢？如果一个抽象类里面的所有的方法都是抽象方法，那么我们就换一种声明方法使用“接口“；也就是说接口里面所有的方法必须都是声明为抽象方法，另外接口里面不能声明变量(但可声明常量constant)，而且接口里面所有的成员都是public权限的。所以子类在实现的时候也一定要使用public权限实限。
声明一个类的时候我们使用的关键字是”class”，而接口一种特殊的类，使用的关键字是“interface”;
类的定义： class 类名{ … } ,接口的声明：interface 接口名{ …}
代码
代码
<?php
//定义一个接口使用interface关键字，“One”为接口名称
interface One
{
//定义一个常量
const constant = 'constant value';
//定义了一个抽象方法”fun1”
public function fun1();
//定义了抽象方法”fun2”
public function fun2();
}
?>
上例中定义了一个接口”one”，里面声明了两个抽象方法“fun1”和”fun2”，因为接口里面所有的方法都是抽象方法，所以在声明抽象方法的时候就不用像抽象类那样使用”abstract”这个关键字了，默认的已经加上这个关键字，另外在接口里边的”public”这个访问权限也可以去掉，因为默认就是public的，因为接口里所有成员都要是公有的，所在对于接口里面的成员我们就不能使用“private”的和”protected”的权限了，都要用public或是默认的。另外在接口里面我们也声明了一个常量“constant“， 因为在接口里面不能用变量成员，所以我们要使用const这个关键字声明。
因为接口是一种特殊的抽象类，里面所有的方法都是抽象方法，所以接口也不能产生实例对象; 它也做为一种规范，所有抽象方法需要子类去实现。
我们可以使用”extends”关键字让一个接口去继承另一个接口：
<?php
//使用”extends”继承另外一个接口
interface Two extends One
{
function fun3();
function fun4();
}
?>
而我们定义一接口的子类去实现接口中全部抽象方法使用的关键字是”implements”，而不是我们前面所说的”extends”;
代码
<?php
//使用“implements”这个关键字去实现接口中的抽象方法 接口和类之间
class Three implements One
{
function fun1()
{
…
}
function fun2()
{
…
}
}
//实现了全部方法，我们去可以使用子类去实例化对象了
$three=new Three();
?>
我们也可以使用抽象类，去实现接口中的部分抽象方法，但要想实例化对象，这个抽象类还要有子类把它所有的抽象方法都实现才行；
在前面我们说过，PHP是单继承的，一个类只能有一父类，但是一个类可以实现多个接口，就相当于一个类要遵守多个规范，就像我们不仅要遵守国家的法律，如果是在学校的话，还要遵守学校的校规一样；
<?php
//使用implements实现多个接口
class Four implemtns 接口一, 接口二, ….
{
//必须把所有接口中的方法都要实现才可以实例化对象。
}
?>
PHP中不仅一个类可以实现多个接口，也可以在继承一个类的同时实现多个接口, 一定要先继承类再去实现接口；
<?php
//使用extends继承一个类，使用implements实现多个接口
class Four extends 类名一 implemtns 接口一, 接口二, ….
{
//所有接口中的方法都要实现才可以实例化对象
………
}
?>
‘玖’ php 写接口一般遵循什么规范,或者标准。
interface面向对象编程的一个重要思想接口是一个类的抽象 在接口中只定义方法却不是先方法interface Ibook {function ready();function weite();} 累如果要实现接口就必须 写出接口中所有的方法class myBook implements Ibook{function ready(){echo "ready()";}function write(){echo "write()";}}接口在代码中起规范代码作用但是php中对接口的支持没有java C#等完全面向对象语言的强大