① php开发中值得注意的问题是
php开发过程中，需要注意的安全细节，其实不只是php其它语言通用。
作为PHP程序员，特别是新手，对于互联网的险恶总是知道的太少，对于外部的入侵有很多时候是素手无策的，他们根本不知道黑客是如何入侵的、提交入侵、上传漏洞、sql 注入、跨脚本攻击等等。作为最基本的防范你需要注意你的外部提交，做好第一面安全机制处理防火墙。
规则 1：绝不要信任外部数据或输入
关于Web应用程序安全性，必须认识到的第一件事是不应该信任外部数据。外部数据(outside data) 包括不是由程序员在PHP代码中直接输入的任何数据。在采取措施确保安全之前，来自任何其他来源(比如 GET 变量、表单 POST、数据库、配置文件、会话变量或Cookie)的任何数据都是不可信任的。
规则 2：禁用那些使安全性难以实施的PHP设置
已经知道了不能信任用户输入，还应该知道不应该信任机器上配置 PHP 的方式。例如，要确保禁用 register_globals。如果启用了 register_globals，就可能做一些粗心的事情，比如使用 $variable 替换同名的 GET 或 POST 字符串。通过禁用这个设置，PHP 强迫您在正确的名称空间中引用正确的变量。要使用来自表单 POST 的变量，应该引用 $_POST['variable']。这样就不会将这个特定变量误会成 cookie、会话或 GET 变量。
规则 3：如果不能理解它，就不能保护它
一些开发人员使用奇怪的语法，或者将语句组织得很紧凑，形成简短但是含义模糊的代码。这种方式可能效率高，但是如果您不理解代码正在做什么，那么就无法决定如何保护它。例如，您喜欢下面两段代码中的哪一段?
规则 4：“纵深防御” 是新的法宝
本教程将用示例来说明如何保护在线表单，同时在处理表单的 PHP 代码中采用必要的措施。同样，即使使用 PHP regex 来确保 GET 变量完全是数字的，仍然可以采取措施确保 SQL 查询使用转义的用户输入。纵深防御不只是一种好思想，它可以确保您不会陷入严重的麻烦。既然已经讨论了基本规则，现在就来研究第一种威胁：SQL 注入攻击。
◆防止SQL注入攻击
在SQL注入攻击中，用户通过操纵表单或 GET 查询字符串，将信息添加到数据库查询中。例如，假设有一个简单的登录数据库。这个数据库中的每个记录都有一个用户名字段和一个密码字段。构建一个登录表单，让用户能够登录。
② 刚学习PHP，问一下，帝国CMS里面e/class/connect.php 函数CheckCanPostUrl（）
首先global $public_r;首先定义一个全局变量$public_r，这个变量是一个数组，里面存了一些系统设置，如网站域名等，在这里$public_r['canposturl']是系统设置里面的“前台允许提交的来源地址”，每一列是一个地址，比如
http://www..com
http://www.google.com
让我们一行一行分析：
if($public_r['canposturl']){ //如果设置了前台允许提交的来源地址
$r=explode("\r\n",$public_r['canposturl']); //按照换行\r\n切分为一个数组$r，结果应该是
$r = array('http://www..com', 'http://www.google.com');
$count=count($r);//使用数组的count方法统计有多少条地址
$b = 0; //这个变量是当作一个标志，用来判断
for($i=0;$i<$count;$i++) //
$_SERVER['HTTP_REFERER'] //这个得到的是页面的来源地址，比如我从http://www.11111.com点击一个链接到http://www.2222.com，那么http://www.2222.com使用$_SERVER['HTTP_REFERER'] 得到的就是http://www.11111.com
for($i=0;$i<$count;$i++)
if(strstr($_SERVER['HTTP_REFERER'],$r[$i]))
这个将页面的来源地址循环和“前台允许提交的来源地址”数组$r里面的每一条对比，如果存在就跳出循环并设置$b=1，如果不存在就继续循环，循环结束看$b的值，只有在存在的情况下才会得到$b=1，否则$b=0，当$b=0的时候，使用错误跳转函数printerror，'NotCanPostUrl'是一个错误常量，在e\data\language\gb\pub\q_message.php中，表示'请从网站提交数据'。
这个函数就是用来判断前台提交的表单是不是从指定的网站发来的，防止有人修改表单恶意注册等等之类的。