PHP攻击

1 SQL注入

1）遭受SQL注入攻击的原因：拼接SQL语句时，没有对用户输入的数据进行特殊字符转义，导致用户输入数据中的特殊符号（如单引号）被当成SQL语句中的符号，破坏了原有SQL语句的含义。

2）防御SQL注入的办法

（1）调用mysqli_real_escape_string()函数对用户输入的数据进行转义，再拼接到SQL中。
（2）使用MySQLi扩展提供的预处理和参数绑定机制，将系统要执行的SQL语句和用户输入的数据分离，从而在根本上解决SQL注入的问题。

2 XSS攻击

1）遭受XSS攻击的原因：没有对用户输入的数据进行过滤，就直接输出到HTML页面中。如果用户输入的数据中包含HTML标签和JavaScript代码，在将数据输出到页面中时，原有的页面结构和逻辑就容易遭到破坏。

2）防御XSS攻击的办法：在页面输出数据时对数据进行HTML特殊字符转义.

3 CSRF攻击

1）遭受CSRF攻击的原因：在用户不知情的情况下执行删除操作，导致用户发布过的数据被删除

2）防御CSRF攻击的办法：给网站中所有涉及删除和更新数据的操作添加一个令牌，这个令牌是随机生成的，每个用户的令牌不同。只有当前请求中包含了正确的令牌，这个操作才会被执行。这样，只要黑客无法窃取用户的令牌，就无法让用户在不知情的情况下执行被令牌保护的操作。