核心風險：敏感配置直暴於 Web 目錄 眾多 PHP 專案為圖方便，將資料庫憑證寫在 db.inc 等包含文件中： 風險場景：Apache 預設將未識別副

SQL 注入是 Web 應用**最經典、危害最大、利用最廣**的漏洞。核心成因：**用戶輸入未經嚴格處理，直接拼接進 SQL 語句，改變了語句原本語義**。防範

Session 劫持是攻擊者竊取合法用戶 Session ID，冒充其身份訪問應用的攻擊手段。**核心防禦目標：讓 Session ID 竊取盡可能困難、竊取後

Web 服務器**文檔根目錄**下的所有文件，默認均可通過 URL 直接訪問。若將包含敏感邏輯、配置、數據庫憑證的文件 (如 config.php, db.in

PHP 配置 allow_url_fopen = On (默認開啟) 允許文件系統函數 (fopen, file_get_contents, include,

exec()、shell_exec()、system()、passthru()、popen() 等函數執行系統命令，若**直接拼接用戶輸入**，將導致**命令注

PHP 內建 mail() 函數功能極簡、送達率低、無 SMTP 認證、難以發送 HTML/附件。**PHPMailer** 是業界標準郵件發送庫，功能強大、社

為什麼要理解迭代器內部流程？ foreach 是 PHP 中最常用的遍歷構造，但其底層如何與 Iterator 介面交互、方法調用順序如何、如何正確實現自定義迭

實現 Iterator 接口，可將斐波那契數列封裝為**無限、惰性、可遍歷**的對象。無需預生成陣列，按需計算，內存常量級，完美契合大數列、流式處理場景。 完

SPL (Standard PHP Library) 從 PHP 5.0 內置，5.3 成熟，提供**接口、迭代器、數據結構、自動載入、異常、文件處理**等標準

調用 .NET (ASMX/WCF) 發布的 SOAP WebService，PHP 內建 SoapClient 提供強大支援。關鍵在於**正確封裝參數結構、處

無需下載完整圖片，僅通過 HTTP HEAD 請求獲取響應頭中的 Content-Length 即可獲得文件大小。適用於圖片驗證、下載預判、存儲配額檢查等場景。

跨站腳本攻擊 (XSS) 是 Web 應用首要安全威脅。本文分析一個經典的 PHP XSS 過濾函數 RemoveXSS()，揭示其**多層防護邏輯、核心正則替

調用新浪微博開放平台 API 獲取用戶時間線數據，涉及 OAuth 2.0 授權、HTTPS CURL 請求、JSON 解析 完整流程。本文提供可直接運行的封裝

需求：從 1~25 中隨機選取 16 個不重復數字（模擬投票選擇作品）。核心挑戰：**高效去重且保證數量精確**。本文介紹「翻翻法」去重，性能遠超 array_

在 Windows 環境下，PHP 連接 Microsoft Access (.mdb/.accdb) 主要有三種途徑：PDO_ODBC、ODBC 擴展、COM

JSON 規範允許鍵名為字符串，但數字鍵名在編碼為 JSON 字符串時會被轉為字符串。在 PHP 和 JavaScript 中訪問此類鍵，**必須使用方括號語法

PHP 使用 SimpleXML、DOMDocument 或 XMLReader 解析 XML 時，拋出 Invalid byte 1 of 1-byte UT

目錄遍歷是文件處理、掃描器、構建工具、遷移腳本的基礎操作。PHP 提供多種 API，從簡單的 scandir、強大的 glob、底層的 opendir/read

基本概念 PHP 引用不是 C 指針。它是符號表別名：兩個變量名指向同一內容（內存地址）。修改任一變量，另一個同步變化。 1. 變量引用 $a = ABC;