理解常见的PHP运用程序安全威胁，可以确保你的PHP运用程序不受攻击。
ServerRoot目录的权限
为了确保所有的配置是适当的和安全的，须要严格掌握Apache 主目录的访问权限，使非超级用户不能修正该目录中的内容。Apache 的主目录对应于Apache Server配置文件httpd.conf的Server Root掌握项中，应为：
Server Root /usr/local/apache
修正httpd.conf
如果你只许可你的php脚本程序在web目录里操作，还可以修正httpd.conf文件限定php的操作路径。比如你的web目录是/usr/local/apache/htdocs，那么在httpd.conf里加上这么几行：
<Directory /usr/local/apache/htdocs>
php_admin_value open_basedir /usr/local/apache/htdocs
</Directory>
这样，如果脚本要读取/usr/local/apache/htdocs以外的文件将不会被许可，如果缺点显示打开的话会提示这样的缺点：
Warning: open_basedir restriction in effect. File is in wrong directory in
/usr/local/apache/htdocs/open.php on line 4 等等。
改变Apache 做事器的缺省访问特性
Apache 的默认设置只能保障一定程度的安全，如果做事器能够通过正常的映射规则找到文件，那么客户端便会获取该文件，如http://local host/~ root/ 将许可用户访问全体文件系统。在做事器文件中加入如下内容：
order deny,ellow
Deny from all
会议捕获和挟制
这是与会话固定有着同样的想法，然而，它涉及盗取会话ID。如果会话ID存储在Cookie中，攻击者可以通过XSS和javascript盗取。如果会话ID包含在URL上，也可以通过嗅探或者从代理做事器那得到。
防止会话捕获和挟制
更新ID
如果利用会话，请确保用户利用SSL
“我们相信大家都可以成为一个IT大神，现在开始，选择一条阳光大道，助你入门，学习的路上不再迷茫。这里是北京尚学堂，初学者转行到IT行业的聚拢地。\"大众
