php中防止SQL注入,该如何解决?
使用预处理语句和参数化查询。禁止使用拼接sql语句，和参数类型验证，就可以完全避免sql注入漏洞！预处理语句和参数分别发送到数据库服务器进行解析，参数将会被当作普通字符处理。这种方式使得攻击者无法注入恶意的SQL。
（6）使用字段类型检查、自动验证和自动完成机制等避免恶意数据的输入；（7）做一些过滤。
PDO参数绑定的原理是将命令与参数分两次发送到MySQL，MySQL就能识别参数与命令，从而避免SQL注入（在参数上构造命令）。mysql在新版本PHP中已经预废弃，使用的话会抛出错误，现在建议使用MySQLi或者MySQL_PDO。
php，伪造referer参数进行了sql注入，执行了远程代码。再一个防止sql注入的方法就是开启PHP的魔术配置，开启安全配置模式，将safe_mode开启on.以及关闭全局变量模式，register_globals参数设置为on，magic_quotes_gpc参数开启。
注入式攻击的类型 可能存在许多不同类型的攻击动机，但是乍看上去，似乎存在更多的类型。这是非常真实的-如果恶意用户发现了一个能够执行多个查询的办法的话。
php中禁止使用汉字注册
php网站这样设置限制注册：创建数据库表：首先，需要创建一个数据库表来存储用户信息和注册信息。这个表可以包含字段，如用户ID、用户名、电子邮件地址、注册时间等。
这个input框 运用正则表达式限定只能输入数字，不能输入其他形式的内容。
如果想匹配双字节字符(包括汉字在内)：就用[^\\x00-\\xff]这个。为空校验你就自己写吧。
phpwind和discuz哪个好
1、在这方面，phpwind的速度要略好于discuz，网上站长们的反响也是如此。对比登录方式 Phpwind的前台和后台采用了不同的Cookie方式，这样前台后台分开的方式，个人感觉比较有利于安全，也便于管理。
2、各有各的优点，各有各的好。我个人比较喜欢DISCUZ，以前看过一片文章有人这样评价：相对来说DISCUZ上手难度低些，PHPWIND上手难度高些。
3、discuz比较稳定安全，并且之前的dz在插件、用户正常方面做得很好 phpwind速度快。
PHP网站短信验证码如何防止被刷
时间限制 例如30秒后才能再次发送。点击发送短信验证码后，客户端开始30秒倒计时，限制用户在这时间内多次的发送获取短信验证码的请求。虽然这种方法比普遍，但通过特定方式可以绕过这个限制，直接发送短信验证码。
前后端校验：提交Token参数校验 这种方式比较少人说到，个人觉得可以这种方法值得一试。
在发送短信验证码之前，必须通过通过图形验证码的校验。这种手段相对来说可以防止某些攻击，因此也是目前非常普遍的短信防攻击机制。但是在使用过程中涉及到用户体验问题，不能简单粗暴地套用这一策略。
