如果你的网站被黑客盯上了怎么办？不要慌，下面泽易云导师将会给大家介绍PHP常见安全问题的讲解，希望可以帮到你，并且有意识地提高你网站的安全性与防御性。
1、XSS
XSS 又叫 CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往 Web 页面里插入恶意 html 代码，当用户浏览该页之时，嵌入其中 Web 里面的 html 代码会被执行，从而达到恶意攻击用户的特殊目的。
解决方法：
坚决不要相信用户的任何输入，并过滤掉输入中的所有特殊字符。这样就能消灭绝大部分的 XSS 攻击：
<?php
$searchQuery = htmlentities($searchQuery, ENT_QUOTES);
或者你可以使用模板引擎 Twig ，一般的模板引擎都会默认为输出加上 htmlentities 防范。
2、SQL注入
SQL 注入是对您网站最大的威胁之一，如果您的数据库受到别人的 SQL 注入的攻击的话，别人可以转出你的数据库，也许还会产生更严重的后果。
解决方法：
主流的解决方法有两种。转义用户输入的数据或者使用封装好的语句。转义的方法是封装好一个函数，用来对用户提交的数据进行过滤，去掉有害的标签。但是，我不太推荐使用这个方法，因为比较容易忘记在每个地方都做此处理。
下面，我来介绍如何使用 PDO 执行封装好的语句（ mysqi 也一样）：
$username = $_GET['username'];
$query = $pdo->prepare('SELECT * FROM users WHERE username = :username');
$query->execute(['username' => $username]);
$data = $query->fetch();
3、XSRF/CSRF
CSRF 是跨站请求伪造的缩写，它是攻击者通过一些技术手段欺骗用户去访问曾经认证过的网站并运行一些操作。
解决方法：
最常用的防御方法是生成一个 CSRF 令牌加密安全字符串，一般称其为 Token，并将 Token 存储于 Cookie 或者 Session 中。
每次你在网页构造表单时，将 Token 令牌放在表单中的隐藏字段，表单请求服务器以后会根据用户的 Cookie 或者 Session 里的 Token 令牌比对，校验成功才给予通过。
由于攻击者无法知道 Token 令牌的内容（每个表单的 Token 令牌都是随机的），因此无法冒充用户。
以上就是PHP常见攻击问题与讲解方案，总结一下，用户提交的任何数据都是不可信的，需要我们通过代码对用户提交的内容进行过滤，特别是特殊符号过滤。如果经常被黑客攻击，需要考虑加强服务器的防御功能，好了，今天泽易云导师就分享到这里了，感谢阅读与学习！
泽易云博客是一个专注编程技术开发以及编程培训的网站，泽易云团队内部资深导师一对一指导你如何去搭建网站，搭建个人博客，如果你有这方面需要，不妨联系我们！
编辑：泽易云导师，文章部分内容整理网络！