使用php安全模式 服务器要做好管理，账号权限是否合理。
成都创新互联公司长期为近1000家客户提供的网站建设服务，团队从业经验10年，关注不同地域、不同群体，并针对不同对象提供差异化的产品和服务；打造开放共赢平台，与合作伙伴共同营造健康的互联网生态环境。为宣城企业提供专业的成都做网站、成都网站建设，宣城网站改版等技术服务。拥有十年丰富建站经验和众多成功案例,为您定制开发。
其实原则就那么几个，主要就是不要相信任何来自客户端的信息，什么信息都一样，都是不可信得，使用这些信息前都要经过过滤和验证。其次就是当你要打开本站文件时，最好先判断该文件是否存在。
开发环境和生产环境隔开，不要再生产上面开debug、及时更新使用框架漏洞补丁如PHP国内常用 tp系列以前偶尔爆出漏洞（我用的较多就是tp5 ...），还有框架不要用最新要选择最稳定的。
防跨站、防跨目录安全设置方法 第1步：登录到linux系统终端。第2步：找到并打开php配置文件。第3步：在php.ini最底部添加以下代码，并保存。大家可就按以下代码改成自己网站的配置即可。
1 接口做入库，记录来路和权限，判断来路网址是否符合。可以避免外部地址访问。2 token比较单一，记录其IP，简单判断是否频繁访问，是否有必要频繁访问，可以避免部分恶意访问。
注意接口的安全 安全高于一切，必须要保证接口的安全。电话号码等敏感信息在传输的过程中一定要加密，否则可能会被别人抓包到。拿取用户信息的接口一定要验证权限，以防止接口被恶意调用，泄密用户信息，甚至篡改信息。
缺点：每次都交互用户名和密码，交互量大，且密码明文传输不安全。第一次请求，要求username和password，验证通过，种cookie到客户端，app保存cookie值。每次请求带上cookie。点评：和pc上浏览器认证的原理一样了。
①大部分公司做的都是基于UI的功能测试，基于UI的功能测试虽包含接口相关内容，但仍无法对接口进行精准测试，前端会限制用户操作。②大部分项目都是前后端分离，独立测试接口可以确保服务端的软件质量。
在日常抓包测试工作中，Charles提供的rewrite、breakingpoint、maplocal等功能真的很好用。但是有时候需要对抓包过程进行实时修改、数据提取、批量处理等，Charles就显得力不从心。
一般性能测试不通过wireshark吧？wireshark只是一个捕获网络包的工具，连重放都不一定支持。一般做性能测试的话，都是自己按照通讯协议生成流量的。wireshark一般只用于诊断之类的。
源代码执行时估计是不好改。你在断点中断执行时，可以在控制台， 输入一些JS语句，修改变量的值，然后再取消断点，继续执行原代码，就能达到同样的目标。
Q：X-Scan如何安装，是否需要注册？ A：X-Scan是完全免费软件，无需注册，无需安装(解压缩即可运行，自动安装WinPCap驱动)。
不是隐藏进程的问题。WPE抓包要首先注入进程，而CF会检测是否有非法线程注入，所以会被查出来。建议换种抓包工具。
