原字符串：”#abc”
php代码：echo preg_replace(‘/./’,’$0′,’#abc’);（$0即引用正则里面的全部内容）
输出：’#abc’
linux代码：echo ‘#abc’ | sed ‘/./s/.*/&/g’（&即引用正则里面的全部内容）
输出：’#abc’
php代码：echo preg_replace(‘/(#)./’,’$1′,’#abc’);（$1即引用括号里面的内容）
输出：’#’
linux代码：echo ‘#abc’ | sed ‘/(#)./s/(#).*/\1/g’（\1即引用括号里面的内容）
输出：’#’
打印出来的值居然为 boolean false
这是为啥?PHP手册对于浮点数有以下警告信息:
Warning
浮点数精度
显然简单的十进制分数如同 0.1 或 0.7 不能在不丢失一点点精度的情况下转换为内部二进制的格式。这就会造成混乱的结果：例如，floor((0.1+0.7)*10) 通常会返回 7 而不是预期中的 8，因为该结果内部的表示其实是类似 7.9999999999…。
这和一个事实有关，那就是不可能精确的用有限位数表达某些十进制分数。例如，十进制的 1/3 变成了 0.3333333. . .。
所以永远不要相信浮点数结果精确到了最后一位，也永远不要比较两个浮点数是否相等。如果确实需要更高的精度，应该使用任意精度数学函数或者 gmp 函数
那么上面的算式我们应该改写为
<?php
$a = 0.1;
$b = 0.7;
var_dump(bcadd($a,$b,2) == 0.8);
这样就能解决浮点数的计算问题了
另外，还可以使用round() 函数处理一下：
<?php
echo ceil( round((2.1/0.7),1) );
虽然 round() 函数是按照指定的精度进行四舍五入，但保留小数点后一位，对我们的取整结果是没影响的。
学习PHP之初，根本就没有意识到过有编码那回事儿，随着对中文的输出越来越多，遇到输出乱码的情况也就更加普遍了。最早我们怀疑是数据库编码的问题，于是在PHP代码中的解决的办法是：
mysql_query(“SET NAMES UTF8”);
但这样做了后，网页显示的仍然是乱码，于是有修改网页头部信息：
header(‘Content-type:text/html;charset=UTF8’);
顺便还找到条其他命令，也不知道能起到什么作用，反正遇到乱码的时候就把它加进去，解决问题即可：
declare(encoding=’UTF-8′);
还有一种情况，是文件编码与输出编码冲突，例如PHP文件编码是ANSI（如果你用windows记事本创建的PHP文件，默认就是ANSI），虽然我也不知道ANSI具体是什么，但我们希望输出的是UTF-8，所以，还是乱码了，于是，又在浏览器显示编码中设置网页显示编码为UTF-8：
问题到此，基本能够解决显示乱码的现象了！
但是，我觉得不应该就此结束！因为我们以后还会遇到编码冲突的情况，有没有防患于未然的方案呢？
我大胆地思考这个问题，然后百度了一下“PHP转换字符串编码”，果然有对应的函数可以解决这个问题！
那就是：
mb_detect_encoding — 检测字符的编码，和mb_convert_encoding — 转换字符的编码，这两个函数。
关于这两个函数的用法，请各位自己去搜索吧，PHP手册里面也很详尽，我就不在此占用篇幅了。
另外还有个函数：iconv，它的效率比mb_convert_encoding 高，但功能没mb_convert_encoding 好，了解后你自己取舍吧！
但，经过本人研究了一两天，貌似这两个函数并没如我所愿地把字符串随意地转换成GBK，GB2312，UTF-8的编码，也许是我的“打开方式不对”？总之，方法找到了，只是用法还没掌握，也就是时间的问题而已啦。
系统环境：
系统：CentOS Linux release 7.2.1511 (Core)
GCC版本：gcc (GCC) 4.8.5 20150623 (Red Hat 4.8.5-4)
LNMP环境：
Nginx版本：1.10.2
PHP版本：PHP 7.1.0 (cli)
MySQL版本：5.7.16
php7安装路径：/usr/local/php7/
安装扩展之前先用pear设置php.ini的路径：
/usr/local/php7/bin/pear config-set php_ini /usr/local/php7/etc/php.ini
这样做的好处就是用pecl安装php扩展的时候，会自动在php.ini中引用扩展包，不用自己手动添加扩展包。
1、安装yaf扩展：
/usr/local/php7/bin/pecl install channel://pecl.php.net/yaf-3.0.4
安装完成之后会自动把yaf.so加入到php.ini中，不用自己手动添加扩展
2、安装yaconf扩展：
/usr/local/php7/bin/pecl install channel://pecl.php.net/yaconf-1.0.4
3、安装swoole扩展：
/usr/local/php7/bin/pecl install channel://pecl.php.net/swoole-1.9.1
4、安装redis扩展：
1、安装Redis服务：
安装教程详见：CentOS7安装Redis
2、安装扩展：
/usr/local/php7/bin/pecl install channel://pecl.php.net/redis-3.0.0
5、安装SeasLog扩展：
/usr/local/php7/bin/pecl install channel://pecl.php.net/SeasLog-1.6.8
6、安装memcache扩展：
1、首先安装memcache服务端memcached：
yum -y install libevent-devel
cd ~ && wget http://memcached.org/latest -O memcached-1.4.33.tar.gz
tar -zxvf memcached-1.4.33.tar.gz
cd memcached-1.4.33
./configure && make && make install
详细安装说明请见：Memcached官方说明，安装完成开始启动memcached：
memcached -d -l 127.0.0.1 -p 11211 -m 150 -u root -c 512 -P /var/run/memcached.pid
启动参数说明：
-d选项是启动一个守护进程，
-l是监听的服务器IP地址，如果有多个地址的话，我这里指定了本机地址127.0.0.1
-p是设置Memcache监听的端口，我这里设置了默认的11211，最好是1024以上的端口，
-m是分配给Memcache使用的内存数量，单位是MB，我这里是10MB，
-u是运行Memcache的用户，我这里是root，
-c选项是最大运行的并发连接数，默认是1024，我这里设置了512，按照你服务器的负载量来设定，
-P是设置保存Memcached的pid文件，我这里是保存在/var/run/memcached.pid
启动完成查看启动结果：
ps -ef | grep memcached
设置memcache开机启动：
echo -e ‘memcached -d -l 127.0.0.1 -p 11211 -m 150 -u root -c 512 -P /var/run/memcached.pid\n’ >> /etc/rc.local
2、安装memcache扩展：
Ⅰ、ⅣⅤ安装依赖库libmemcached：
cd ~ && wget https://launchpadlibrarian.net/165454254/libmemcached-1.0.18.tar.gz
tar -zxvf libmemcached-1.0.18.tar.gz
cd libmemcached-1.0.18/
./configure
make && make install
Ⅱ、安装扩展：
cd ~ && git clone https://github.com/php-memcached-dev/php-memcached.git
cd php-memcached/
git checkout php7
phpize
./configure –disable-memcached-sasl
make && make install && make test
Ⅲ、配置扩展： 在/etc/php.ini中加入以下内容：
extension=”memcached.so”
重启php：
kill -USR2 `cat /usr/local/php7/var/run/php-fpm.pid`
重启之后查看php是否已经正常加载：
php -m|grep memcached
如果输出：memcached则说明配置成功
本文详细总结了PHP网站在Linux服务器上面的安全配置，包含PHP安全、mysql数据库安全、web服务器安全、木马查杀和防范等，很好很强大很安全。
1. 确保运行php的用户为一般用户，如www
2. php.ini参数设置
1 |
disable_functions = passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server,fsocket,phpinfo #禁用的函数 |
2 |
expose_php = off #避免暴露PHP信息 |
3 |
display_errors = off #关闭错误信息提示 |
4 |
register_globals = off #关闭全局变量 |
5 |
enable_dl = off #不允许调用dl |
6 |
allow_url_include = off #避免远程调用文件 |
7 |
session.cookie_httponly = 1 #http only开启 |
8 |
upload_tmp_dir = /tmp #明确定义upload目录 |
9 |
open_basedir = ./:/tmp:/home/wwwroot/ #限制用户访问的目录 |
open_basedir参数详解
open_basedir可将用户访问文件的活动范围限制在指定的区域，通常是其家目录的路径，也可用符号”.”来代表当前目录。注意用open_basedir指定的限制实际上是前缀,而不是目录名。
举例来说: 若”open_basedir = /home/wwwroot”, 那么目录”/home/wwwroot”和”/home/wwwroot1″都是可以访问的。所以如果要将访问限制在仅为指定的目录，请用斜线结束路径名。
注意：
从网上获取的资料来看，open_basedir会对php操作io的性能产生很大的影响。研究资料表明，配置了php_basedir的脚本io执行速度会比没有配置的慢10倍甚至更多，请大家自己衡量
open_basedir也可以同时设置多个目录, 在Windows中用分号分隔目录,在任何其它系统中用冒号分隔目录。当其作用于Apache模块时，父目录中的open_basedir路径自动被继承。
1. MySQL版本的选择
在正式生产环境中，禁止使用4.1系列的MySQL数据库。至少需要使用5.1.39或以上版本。
2. 网络和端口的配置
在数据库只需供本机使用的情况下，使用–skip-networking参数禁止监听网络 。
3. 确保运行MySQL的用户为一般用户，如mysql，注意存放数据目录权限为mysql
1 |
vi /etc/my.cnf |
2 |
user = mysql |
4. 开启mysql二进制日志，在误删除数据的情况下，可以通过二进制日志恢复到某个时间点
1 |
vi /etc/my.cnf |
2 |
log_bin = mysql-bin |
3 |
expire_logs_days = 7 |
5. 认证和授权
(1) 禁止root账号从网络访问数据库，root账号只允许来自本地主机的登陆。
1 |
mysql>grant all privileges on *.* to root @localhost identified by 'password' with grant option; |
2 |
mysql>flush priveleges; |
(2) 删除匿名账号和空口令账号
1 |
mysql>USE mysql; |
2 |
mysql>delete from user where User=; |
3 |
mysql>delete from user where Password=; |
4 |
mysql>delete from db where User=; |
确保运行Nginx或者Apache的用户为一般用户，如www，注意存放数据目录权限为www
防止sql注入
1 |
if ( $query_string ~* ".*[\;'\<\>].*" ){ |
2 |
return 404; |
3 |
} |
关闭存放数据上传等目录的PHP解析
1 |
location ~* ^/(attachments|data)/.*\.(php|php5)${ |
2 |
deny all; |
3 |
} |
针对Apache：关闭图片目录/上传等目录的PHP解析
1 |
<Files ~ ".php"> |
2 |
order allow,deny |
3 |
Deny from all |
4 |
</Files> |
php木马快速查找命令
1 |
grep -r --include=*.php '[^a-z]eval($_POST' /home/wwwroot/ |
2 |
3 |
grep -r --include=*.php 'file_put_contents(.*$_POST\[.*\]);' /home/wwwroot/ |
利用find mtime查找最近两天或者发现木马的这几天，有哪些PHP文件被修改
1 |
find -mtime -2 -type f -name \*.php |
防范：
1. 做好之前的安全措施，比如禁用相关PHP函数等
2. 改变目录和文件属性
1 |
find -type f -name \*.php -exec chomd 644 {} \; |
2 |
find -type d -exec chmod 755 {} \; |
3 |
chown -R www.www /home/wwwroot/www.waitalone.cn |
3. 为防止跨站感染，需要做虚拟主机目录隔离
(1) nginx的简单实现方法
利用nginx跑多个虚拟主机，习惯的php.ini的open_basedir配置：
open_basedir = ./:tmp:/home/wwwroot/
注：/home/wwwroot/是放置所有虚拟主机的web路径
黑客可以利用任何一个站点的webshell进入到/home/wwwroot/目录下的任何地方，这样对各个虚拟主机的危害就很大
例如： /data/www/wwwroot目录下有2个虚拟主机
修改php.ini
open_basedir = ./:/tmp:/home/wwwroot/www.waitalone.cn:/home/wwwroot/back.waitalone.cn
这样用户上传webshell就无法跨目录访问了。
(2) Apache的实现方法，控制跨目录访问
在虚拟机主机配置文件中加入
php_admin_value open_basedir “/tmp:/home/wwwroot/www.waitalone.cn”
PHP 配置默认允许服务器在 HTTP 响应头 X-Powered-By 中显示安装在服务器上的 PHP 版本。
出于服务器安全原因（虽然不是主要的要担心的威胁），建议你禁用或隐藏此信息，避免那些针对你的服务器的攻击者知道你是否运行了 PHP。
假设你服务器上安装的特定版本的 PHP 具有安全漏洞，而攻击者了解到这一点，他们将更容易利用漏洞并通过脚本访问服务器。
在我以前的文章中，我已经展示了如何隐藏 apache 版本号，你已经看到如何不再显示 apache 的安装版本。但是如果你在你的 apache 服务器上运行 PHP，你还需要隐藏 PHP 的安装版本，这我们将在本文中展示。
因此，在本文中，我们将解释如何隐藏或关闭服务器 HTTP 响应头中的 PHP 版本号。
此设置可以在加载的 PHP 配置文件中配置。如果你不知道此配置文件在服务器上的位置，请运行以下命令找到它：
$ php -i | grep "Loaded Configuration File"PHP 配置文件位置
---------------- 在 CentOS/RHEL/Fedora 上---------------- Loaded Configuration File => /etc/php.ini---------------- 在 Debian/Ubuntu/Linux Mint 上---------------- Loaded Configuration File => /etc/php/7.0/cli/php.ini在对 PHP 配置文件进行任何更改之前，我建议您首先备份您的 PHP 配置文件，如下所示：
----------------在 CentOS/RHEL/Fedora 上---------------- $ sudo cp /etc/php.ini /etc/php.ini.orig---------------- 在 Debian/Ubuntu/Linux Mint 上---------------- $ sudo cp /etc/php/7.0/cli/php.ini /etc/php/7.0/cli/php.ini.orig 用你最喜欢的编辑器，使用超级用户权限打开文件：
---------------- 在 CentOS/RHEL/Fedora 上---------------- $ sudo vi /etc/php.ini----------------在 Debian/Ubuntu/Linux Mint 上---------------- $ sudo vi /etc/php/7.0/cli/php.ini定位到关键词 expose_php，并将值设置成 Off：
expose_php = Off保存并退出文件。之后，重启 web 服务器：
---------------- 使用 SystemD ---------------- $ sudo systemctl restart httpd
或$ sudo systemctl restart apache2 ---------------- 使用 SysVInit ---------------- $ sudo service httpd restart
或$ sudo service apache2 restart最后，不过同样重要，使用下面的命令检查服务器 HTTP 响应头是否仍然显示你的 PHP 版本号。
$ lynx -head -mime_header http://localhost 或者$ lynx -head -mime_header http://server-address这里的标志含义是：
-head – 发送一个请求 mime 报头的 HEAD 请求。-mime_header – 打印所提取文档的 MIME 标头及其源代码。注意: 确保你系统中已经安装了命令行 web 浏览器 lynx。
我在phpclasses.org上面偶然发现一个很有用的，由Bakr Alsharif开发的可以帮助开发者基于皮肤像素点来检测图片裸照的类文件.
它会分析在一张图片的不同部分使用的颜色，并决定其是否匹配人类皮肤颜色的色调.
作为分析的结果，他会返回一个反映图片包含裸露的可能性的分值.
此外，他还可以输出被分析的图片，上面对使用给定颜色的肤色的像素进行了标记.
当前它可以对PNG，GIF和JPEG图片进行分析.
下面展示了如何使用这个PHP类.
让我们先从包含裸体过滤器，nf.php文件开始.
include ('nf.php'); |
接下来，创建一个新的名叫ImageFilter的类，然后把它放到一个叫做$filter的变量中.
$filter = new ImageFilter; |
获取图片的分值并将其放到一个$score变量中.
$score = $filter -> GetScore($_FILES['img']['tmp_name']); |
如果图片分值大于或等于60%，那就展示一条（告警）消息.
if($score >= 60){/*Message*/} |
下面是所有的PHP代码:
<?php/*Include the Nudity Filter file*/include ('nf.php');/*Create a new class called $filter*/$filter = new ImageFilter;/*Get the score of the image*/$score = $filter -> GetScore($_FILES['img']['tmp_name']);/*If the $score variable is set*/if (isset($score)) { /*If the image contains nudity, display image score and message. Score value if more than 60%, it is considered an adult image.*/ if ($score >= 60) { echo "Image scored " . $score . "%, It seems that you have uploaded a nude picture."; /*If the image doesn't contain nudity*/ } else if ($score < 0) { echo "Congratulations, you have uploaded an non-nude image."; }}?> |
我们可以使用一个基础的HTML表单上传图片.
<form method="post" enctype="multipart/form-data" action="<?php echo $SERVER['PHP_SELF'];?> ">Upload image: <input type="file" name="img" id="img" /><input type="submit" value="Sumit Image" /></form> |
请记得，PHP不能够检测所有的裸体图片，所以不完全可信.我希望你觉得这还有点用处.
说明：
操作系统：CentOS
php安装目录：/usr/local/php
php.ini配置文件路径：/usr/local/php/etc/php.ini
1、安装swoole
cd /usr/local/src
wget https://github.com/swoole/swoole-src/archive/v1.9.1-stable.tar.gz
tar zxvf v1.9.1-stable.tar.gz
cd swoole-src-1.9.1-stable
/usr/local/php/bin/phpize
./configure –with-php-config=/usr/local/php/bin/php-config
make
make install
2、配置php支持swoole
vi /usr/local/php/etc/php.ini #编辑配置文件，在最后一行添加以下内容
添加
extension=swoole.so
:wq! #保存退出
3、重启php-fpm
service php-fpm restart
在phpinfo页面可以看到关于swoole的选项，说明安装成功。
一、利用var_export(), eval()方法
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
|
/** * 将含有GBK的中文数组转为utf-8 * * @param array $arr 数组 * @param string $in_charset 原字符串编码 * @param string $out_charset 输出的字符串编码 * @return array */function array_iconv($arr, $in_charset="gbk", $out_charset="utf-8"){ $ret = eval('return '.iconv($in_charset,$out_charset,var_export($arr,true).';')); return $ret; // 这里转码之后可以输出json // return json_encode($ret);} |
原理很简单 var_export设置第二个参数为true，返回数组原型字符串，将字符串转换为utf-8编码，之后再用eval来执行返回（类似匿名函数？），至此完美解决问题。
eval() 函数小结：
条件：eval() 函数把字符串按照 PHP 代码来计算。该字符串必须是合法的 PHP 代码，且必须以分号结尾。
如果没有在代码字符串中调用 return 语句，则返回 NULL。如果代码中存在解析错误，则 eval() 函数返回 false。
|
1
2
3
4
5
6
7
8
9
10
11
|
$a ="hello";$res = eval("return $a;");print_r($res);// 在赋值时必须用反斜杠对$标示符进行转义eval("\$str = \"$str\";");echo $str; |
二、利用递归将数组转码
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
|
/** * UTF-8编码 GBK编码相互转换/（支持数组） * * @param array $str 字符串，支持数组传递 * @param string $in_charset 原字符串编码 * @param string $out_charset 输出的字符串编码 * @return array */function array_iconv($str, $in_charset="gbk", $out_charset="utf-8"){ if(is_array($str)) { foreach($str as $k => $v) { $str[$k] = array_iconv($v); } return $str; } else { if(is_string($str)) { // return iconv('UTF-8', 'GBK//IGNORE', $str); return mb_convert_encoding($str, $out_charset, $in_charset); } else { return $str; } }} |