TinaYuNuo的博客

本函数检查并确保由 filename 指定的文件是合法的上传文件（即通过 PHP 的 HTTP POST 上传机制所上传的）。上面的文件上传的例子，没有对被上传的文件进行任何判断，这样用户可以上传一个.php文件，然后通过浏览器访问该php文件，来达到攻击的目的。在执行文件上传操作时，都必须用这个函数来移动上传的临时文件到正式目录下，而不能自己使用move方法来移动。在文件上传后，判断上传的文件类型，如果类型不对，则不执行上传操作。在客户端提交文件上传之前，判断只允许上传指定类型的文件。

虚拟站点使用的数据库用户一定不要使用root等最高权限用户，必须针对每个虚拟站点单独设置一个用户，这个用户只能允许虚拟站点所在的ip登录，只能访问当前虚拟站点所使用的数据库，并且只有有限的少数几个权限。php提供了mysql_real_escape_string方法，用于转义 SQL 语句中使用的字符串中的特殊字符，可以安全用于 mysql_query()。SQL注入攻击，指的是通过构建特殊的输入作为参数，传入后台处理程序（比如PHP代码），通过执行SQL语句，来执行攻击者所要的操作，从而达到攻击的目的。