為什麼簡單的 str_replace/preg_replace 過濾失效？ 黑名單式過濾（移除 <script>、onerror、javascrip

核心原則：使用密碼學安全隨機數生成器 (CSPRNG) 絕對禁止 使用 rand()、mt_rand()、shuffle()、array_rand()、uniq

什麼是 Magic Quotes？ magic_quotes_gpc 是 PHP 早期（< 5.4）內建的自動逃逸機制：當開啟時，所有 $_GET、$_POST

Session 驗證碼核心流程 生成端：建立圖片 → 生成隨機碼 → 存入 $_SESSION[captcha] → 輸出圖片二進位資料。 前端：顯示 <

聲明 本文僅供安全研究、教學與防禦用途。未經授權對目標系統進行 SQL 注入測試屬違法行為，請勿用於非法目的。 注入點發現：布爾盲注基礎 假設存在參數 id

open_basedir 指令語法 ; php.ini open_basedir = /allowed/path1/:/allowed/path2/:/tmp/

為什麼要隱藏版本資訊？ HTTP 回應標頭預設會洩露伺服器軟體名稱與版本號（如 Server: Apache/2.4.41 (Ubuntu)、X-Powered

核心事實：eval() 不是函數，是語言結構 eval() 在 PHP 內核中被實作為語言結構，而非標準函數。因此 php.ini 的 disable_func

為什麼黑名單過濾不可靠？ 嘗試列舉所有「危險字符」（單引號、分號、<script>、SQL 關鍵字等）屬於黑名單策略，存在三大缺陷： 繞過變體無窮

open_basedir 核心機制 open_basedir 限制 PHP 腳本可存取的檔案系統路徑，不受 safe_mode 影響。其運作流程： 腳本嘗試開

驗證碼演進與選型建議 類型安全性使用者體驗適用場景 傳統圖形驗證碼低（易被 OCR/機器學習破解）差（需人工輸入）低風險表單、內部系統 滑塊/點選/旋轉

Mcrypt 現狀：已棄用並移除 Mcrypt 擴展自 PHP 7.1 起標記為棄用，PHP 7.2 正式移除。舊專案若仍使用 mcrypt_* 函數，必須規劃

前言 PHP 應用安全不僅取決於程式碼撰寫品質，伺服器層面的 php.ini 配置同樣關鍵。本文整理核心安全設定，並標註已棄用/移除的舊指令，協助建立符合現代標

為什麼單純的字串過濾不夠用？ 早期 PHP 開發常見使用 str_replace()、preg_replace() 或自訂函數過濾「危險字符」（如單引號、分號、

前言 PHP 5.5 引入了專門的密碼雜湊 API，提供四個核心函數：password_hash()、password_verify()、password_ne

前言 DDoS（分散式阻斷服務）攻擊旨在耗盡伺服器資源（頻寬、CPU、記憶體、連接數），導致正常服務不可用。PHP 應用層面雖無法完全阻擋大流量攻擊（需網路/基

工具定位與使用場景 本掃描器適用於**應急響應階段**的快速排查，透過預定義的惡意程式碼特徵正則，遞迴掃描網站目錄下的 PHP/Inc/Phtml 等腳本檔案，

為什麼需要更強的驗證碼？ 簡單的純色背景驗證碼極易被 OCR（光學字元識別）自動破解。引入**背景圖片、隨機干擾線、干擾點、字元扭曲旋轉**等手段，可大幅提高機

前言 驗證碼（CAPTCHA）是防止自動化腳本惡意註冊、暴力破解、刷單的第一道防線。PHP GD 擴展可輕鬆生成圖形驗證碼，本文從基礎實作進階至抗機器辨識強化，

背景與風險 SQL 注入是 Web 應用最頂級的安全威脅之一。雖然現代框架（Laravel、Symfony、ThinkPHP 等）內建 ORM/Query Bu