PHP文件读写 一、相关函数 打开文件：fopen 读写文件：fgets（按行读取）、fwrite 关闭文件：fclose 附加函数 判断文件是否已经到达末尾：feof($fp) 一次性将文件所有内容读取：file_get_contents($fp)，使用该函数当参数为URL地址时可以发送请求 一次性写入文件：file_put_contents()…

PHP操作MySQL 一、步骤 使用MySQLi或PDO 连接到MySQL数据库 执行SQL语句 处理SQL语句的结果 关闭数据库连接 二、示例 $conn = mysqli_connect('127.0.0.1','root','123456','learn') or…

Cookie&Session&Token Cookie 服务器将用户名、用户ID或其他特征信息经过编码（加密或签名）后发送给用户，而服务器不储存这串字符，当用户访问需要验证身份的页面时，将这串字符串作为cookie传给服务器，服务器解码后查询数据库进行校验。 // 设置加密密钥 $key = "mySecretEncryp…

PHP面向对象 面向过程的编程的基本构成是“过程“，过程的实现方式是”函数“，通过不同函数来实现不同的功能，并按照程序的执行顺序调用相应的函数，组成一个完成整的可以运行的程序，通过把不同功能在不同的函数中实现或者给函数传递不同的参数来实现不同的功能，这是面向过程中模块化设计的原理。但是当设计一些大型的应用时，就会出现代码极难维护、要为相似的功能设计…

JSON&XML 一、JSON JSON中文名称为：“JS对象标记”。是一种轻量级的数据交换格式，属于JS一个子集。简介和清晰的参差使得JSON曾为理想的数据交换语言。易于人阅读和编写，同时也易于机器解析和生成，并有效提升网络传输效率，是目前在互联网上进行数据传输的重要手段。 数据的展示和存在形式； 数组：索引数组是适用于大多数编程语言，P…

前后端交互处理 一、简介 前后端的交互过程就是HTTP协议的处理过程：请求与响应的处理过程。单纯只有前端，无法使用狗太服务器的能力，或者无法访问数据库。如果只有后端也无法形成业务流程，无法为客户服务。 三种方式 资源获取型：GET请求+URL地址 数据提交型：POST请求+URL地址+请求正文 AJAX提交：利用异步提交的方式，在不刷新当前页面的情…

PHP基本语法与字符串 一、基本结构 HTML、CSS、JS及图片等会被服务器 原样发送给客户端，渲染工作由客户端浏览器完成。然而PHP会被服务器先通过脚本引擎处理后再将处理结果发送给客户端。 1.代码块 PHP运行于服务器中，主要用于网页的处理 将代码包裹 ?> Document 2.注释 //：可以注释一行 /**/：可以注释段落 3. 输入输…

JavaScript元素定位 一、DOM操作 JavaScript直接操作页面的元素的方法集合，称为DOM，是一套JS代码接口。另外，还有一套BOM，用于通过JS直接操作浏览，比如前进、后退、刷新、历史等 二、JS定位元素 定义一个变量使用var标记，并给它赋值，innerHTML为该元素的属性，被函数包裹的代码如果没有出发条件或调用代码，则这部分…

DIV盒模型与CSS基础 一、CSS使用方式 在元素中指定style属性 也称为内嵌样式，只针对对应的这个标签生效 在页面中嵌入style样式块 通常将style标签放置于head标签中，可以针对当前页面所有元素生效 在也缪按中引入外部css文件 外部CSS文件可以针对全站的引入了这个CSS的多个页面生效，放置于head标签中 二、CSS选择器 选…

Web前端页面基本元素 一、HTML页面的构成要素 HTML：超文本标记语言，由一系列实现约定好的标签来描述一个页面的构成，HTML不是编程语言，只是标记语言。HTML主要由三个部分构成：标记、属性、内容 文本：设置字体、颜色、大小等 图片：设置边框、大小、位置等 超链接：图片、文本等 表格：行列构成的结构化数据可以用表格展示，可以设置大小、背景，…

SSRF服务器请求伪造 一、概述 1.定义 攻击者通过伪造服务器发送对其他内网服务器的请求，来访问本不应由外网访问到的内部资源。 这种漏洞一般出现在由用户提供地址，服务器主动请求该地址的功能上，如解析外部图片地址，通过url下载外部文件。 当攻击者找到可利用的ssrf漏洞或者获得服务器一定权限的时候可以通过该服务器发送内网请求，扫描内网服务及端口，…

CSRF跨站请求伪造 一、概述 1.定义 攻击者利用服务器对用户的信任，从而欺骗受害者去服务器上执行受害者不知情的请求。 在CSRF攻击场景中，攻击者会伪造一个请求（一般为链接），然后欺骗用户点击，用户一旦操作，整个攻击就完成了，所以CSRF攻击也被称为“one click”攻击。 2.与XSS的区别 XSS使利用用户对服务端的信任，CSRF是利用…

文件操作类漏洞防御 一、文件包含 1.绕过 实际环境中不都是include $_GET['file']这样直接把变量传入包含函数的。在很多时候包含的变量/文件不是完全可控的，如以下代码指定了前缀和后缀 目录穿越绕过指定前缀，构造file = ../../../../etc/passwd 编码绕过前缀：../的编码为%2e%2e%2f 二次编码逃过前…

文件下载漏洞 一、漏洞PHP源码 // 获取店端清酒的文件名 $file_path = $GET['filename']; // 设置响应头为附件下载而非内容读取 Header("Contnet-type: application/octet-stream"); Header("Content-Di…

文件上传漏洞 一、漏洞成因 没有对上传的文件进行判断，导致用户可以直接上传恶意php等文件，从而达到上传木马。 优化：可以进行前端对文件后缀校验，禁止用户上传不合法文件。 直接禁用JS可以绕过JS对文件后缀的校验，但是不建议禁用JS，因为这会直接禁用掉所有JS，有可能导致其他功能失效。 优化：使用ajax实现上传功能，防止用户通过禁用JS上传恶意文…