一、Xss

1、定義：跨站腳步攻擊，過濾使用者表單提交的資料 2、防範措施：        a.使用PHP內建函式:htmlspecialchars(),strip_tags,trim,addslashes。         b.PHP所有列印的語句如echo，print等，在列印前都要使用htmlentities() 進行過濾，

          這樣可以防止Xss，注意中文要寫htmlentities($name,ENT_NOQUOTES,GB2312)

        c.php防注入和XSS攻擊通用過濾函式

1. <?php
2. //php防注入和XSS攻擊通用過濾.
3. //by qq:831937
4. $_GET && SafeFilter($_GET);
5. $_POST && SafeFilter($_POST);
6. $_COOKIE && SafeFilter($_COOKIE);
7. function SafeFilter (&$arr)
8. {
9. $ra=Array('/([\x00-\x08,\x0b-\x0c,\x0e-\x19])/','/script/','/javascript/','/vbscript/','/expression/','/applet/','/meta/','/xml/','/blink/','/link/','/style/','/embed/','/object/','/frame/','/layer/','/title/','/bgsound/','/base/','/onload/','/onunload/','/onchange/','/onsubmit/','/onreset/','/onselect/','/onblur/','/onfocus/','/onabort/','/onkeydown/','/onkeypress/','/onkeyup/','/onclick/','/ondblclick/','/onmousedown/','/onmousemove/','/onmouseout/','/onmouseover/','/onmouseup/','/onunload/');
10. if (is_array($arr))
11. {
12. foreach ($arr as $key => $value)
13. {
14. if (!is_array($value))
15. {
16. if (!get_magic_quotes_gpc()) //不對magic_quotes_gpc轉義過的字元使用addslashes(),避免雙重轉義。
17. {
18. $value = addslashes($value); //給單引號（'）、雙引號（"）、反斜線（\）與 NUL（NULL 字元）加上反斜線轉義
19. }
20. $value = preg_replace($ra,'',$value); //刪除非列印字元，粗暴式過濾xss可疑字串
21. $arr[$key] = htmlentities(strip_tags($value)); //去除 HTML 和 PHP 標記並轉換為 HTML 實體
22. }
23. else
24. {
25. SafeFilter($arr[$key]);
26. }
27. }
28. }
29. }
30. ?>

二、CSRF

     1、定義：跨站請求偽造（攻擊者盜用了你的身份，以你的名義傳送惡意請求）       2.CSRF攻擊原理及過程如下：                a. 使用者C開啟瀏覽器，訪問受信任網站A，輸入使用者名稱和密碼請求登入網站A；

               b.在使用者資訊通過驗證後，網站A產生Cookie資訊並返回給瀏覽器，此時使用者登入網站A成功，可以正常傳送請求到網站A；

                c. 使用者未退出網站A之前，在同一瀏覽器中，開啟一個TAB頁訪問網站B；

                d. 網站B接收到使用者請求後，返回一些攻擊性程式碼，併發出一個請求要求訪問第三方站點A；

                e. 瀏覽器在接收到這些攻擊性程式碼後，根據網站B的請求，在使用者不知情的情況下攜帶Cookie資訊，向網站A發出請求。網站A並不知道該請求其實是由B發起的，所以會根據使用者C的Cookie資訊以C的許可權處理該請求，導致來自網站B的惡意程式碼被執行。

       3.防範措施：             a.在HTTP請求中增加token並驗證
            b.在HTTP頭中自定義屬性並驗證
            c.驗證 HTTP Referer 欄位
            d.增加驗證碼機制（圖片驗證碼）
三、SQL注入
     1.堅持兩個原則             a.對輸入的資料進行過濾（addslashes()）             b.轉義用於向資料庫發出的資料（mysql_real_escape_string()）
            c.使用支援引數化查詢語句和佔位符的資料庫操作類（如PEAR::DB, PDO等），你就會多得到一層保護
           d.過濾輸入
           e.變數型別限制
           f.採用PDO操作資料庫            g.配置好資料庫的使用者許可權

四、就是在PDO底層是如何處理該sql語句的，可以這麼有效的防止注入問題