本文目录一览：
- 1、tp5怎么防sql注入 xss跨站脚本攻击
- 2、thinkphp怎么做才是安全的sql防注入
- 3、为什么在本地写好的代码放到线上TP5全部引入不过去，TP5think 爆红
- 4、php开发api接口,如何做才算是安全的
- 5、tp5数据库参数绑定的作用什么，和直接insert插入记录有什么区别？
- 6、tp5怎么引入css，js文件
tp5怎么防sql注入 xss跨站脚本攻击
最有效的方法是使用参数化查询就能避免sql注入了，防止跨站的话可以使用微软白名单。或者关键字黑名单。
thinkphp怎么做才是安全的sql防注入
注入的产生一般都是对用户输入的参数未做任何处理直接对条件和语句进行拼装.
代码举例：
//不安全的写法举例1
$_GET['id']=8;//希望得到的是正整数
$data=M('Member')-where('id='.$_GET['id'])-find();
$_GET['id']='8 or status=1';//隐患:构造畸形查询条件进行注入;
//安全的替换写法
$data=M('Member')-where(array('id'=$_GET['id']))-find();//使用数组方式将自动使用框架自带的字段类型检测防止注入
$data=M('Member')-where(array('id'=(int)$_GET['id']))-find();//类型约束
$data=M('Member')-where('id='.intval($_GET['id']))-find();//类型转换
$data=M('Member')-where(array('id'=I('get.id','','intval')))-find();//本人习惯写法
$data=M('Member')-where(array('id'=':id'))-bind(':id',I('get.id'))-select();//PDO驱动可以使用参数绑定
$data=M('Member')-where("id=%d",array($_GET['id']))-find();//预处理机制
//不安全的写法举例2
$_GET['id']=8;//希望得到的是正整数
$data=M()-query('SELECT * FROM `member` WHERE id='.$_GET['id']);//执行的SQL语句
$_GET['id']='8 UNION SELECT * FROM `member`';;//隐患:构造畸形语句进行注入;
2.防止注入的总的原则是根据具体业务逻辑,对来源于用户的值的范围,类型和正负等进行限制和判断,同时尽量使用THINKPHP自带的SQL函数和写法.
3.在THINKPHP3.2版本中的操作步骤是:
一：在项目配置文件中添加配置： 'DEFAULT_FILTER' = 'htmlspecialchars', //默认过滤函数
二: 使用框架带的I方法获取来自用户提交的数据;
例子：M('Member')-save(array('content'=I('post.content')));这样添加的content内容是经过htmlspecialchars处理过的.
4.为COOKIE添加httponly配置
5.最新版本的thinkphp已经支持此参数。
6.HTML5值得观注的新特性：
9.富文本过滤
富文本过滤是，XSS攻击最令人头疼的话题，不仅是小网站，就连BAT这样的巨头也是三天两头的被其困扰.
为什么在本地写好的代码放到线上TP5全部引入不过去，TP5think 爆红
js是静态文件，jsp是动态文件，两个都可以用来保存复用函数。 我明白楼主的意思，将某些javascript过程封装成函数放在单独的文件里可以提高复用，事实上我们在项目开发中的确有两种选择，就像楼主所说的一种是放在js文件，而另一种是放在jsp文件里。 一般来说，放在jsp文件里可以获得比较好的灵活另，例如实现国际化，将js写在jsp文件里然后配合struts的标签是很容易实现的，但是这在js文件里就很难做到。 但是js文件也有一个有点，就是可以让客户端缓存，比如说，一个网站可能有很多个页面需要引用某个js函数，如果这个函数放在jsp文件，然后在每个页面都include它，那么每次页面加载时都将重复下载这部分代码；但是，如果放在js文件的话，那么客户端在第一次引用该函数时下载js文件，在后面的使用中发现路径相同就直接引用本地缓存的js文件。因为它是静态文件所以能够缓存。 总结一下，放在js文件可以降低网络传输量，所以，如果不是为了必须的灵活性，应该尽量使用js文件来保存javascript代码。
php开发api接口,如何做才算是安全的
这个问题很深
安全，不敢当，因为web安全问题很多，不仅仅是PHP编码而已，有很多安全上的问题需要做处理，像服务器漏洞、端口开放都会导致被黑，这都是很正常的。
只能说 比如在我做PHP开发过程的一些安全保护和在网络安全公司开发时的工作要求：
1、最基础的，提供的api接口 要配置https。
2、api返回响应的信息，要尽可能使用消息加密返回，如高位数的 rsa加密内容。
3、接收的回调开放接口，尽可能做到使用回调黑、白名单，如加ip白名单放行，或ip黑名单禁止访问。
4、不要相信用户输入、输入信息要进行编码转换、转义、过滤、使用框架和插件进行处理，如MySQL查询的要进行参数绑定、如显示问题要避免xss攻击会进行过滤。
5、授权操作，错误限制设置阀值、超过阀值限制访问、如最基础的登录功能。
6、常见额弱口令问题导致漏铜，应设置高强度口令，避免程序爆破。
7、文件上传问题、应严格校验文件类型、后缀、格式、及文件目录权限设置，从而避免文件上传漏洞导致恶意代码或webshell攻击。
8、开发环境和生产环境隔开，不要再生产上面开debug、及时更新使用框架漏洞补丁如PHP国内常用 tp系列以前偶尔爆出漏洞（我用的较多就是tp5 ....），还有框架不要用最新要选择最稳定的。
最后注意不管是验证还是过滤，在客户端执行过一次也好，在服务端，都要再次执行验证和校验。
和盛之文 我的文章保存网站，欢迎访问学习或参考
tp5数据库参数绑定的作用什么，和直接insert插入记录有什么区别？
SQL参数查询可以避免很多问题，比如说因拼接过长导致容易出错和阅读困难（尤其拼接大量字符类型字段），以及可以避免一些sql注入的问题（sql注入是很常见的注入方式，这方面内容可以自己查一下）
tp5怎么引入css，js文件
ThinkPHP模版中导入CSS和JS文件的方法
常用方法
1. css使用link
2. js使用src
用tp自己的导入标签import
导入Public文件夹下面的Js目录中的test.js文件，import标签可以省略type属性,默认就是js的文件
复制代码代码如下:
import type='js' file='Js.test'
import type='css' file='Css.test'
不在Public:
复制代码代码如下:
import type='css' file='Css.test' basepath='./Other'/
Other后面不加路径中的/
使用load标签
load标签,非常简单,自动检测
复制代码代码如下:
load href='__PUBLIC__/Css/test.css' /
load href='__PUBLIC__/Js/test.js' /
ThinkPHP快速入门实例教程之数据分页
数据分页可能是web编程里最常用到的功能之一。ThinkPHP实现分页功能十分简洁。只需要定义几个参数就可以实现。并且扩展也十分方便。
下面让我们从零开始实现ThinkPHP的分页程序吧。
1.首先，我们得创建一个用于分页测试的数据库 test.sql代码如下。
2.接着，我们得新建一个ThinkPHP项目。新版tp已经内置了项目自动生成目录功能。
在htdocs(也就是你的网站根目录)下新建一个test文件夹，把THINKPHP核心文件夹放进test根目录，并在test根目录新建文件index.php，加入如下代码：
运行“”.会看到ThinkPHP的欢迎页面。再打开你的test目录看看，发现在根目录下多了一个test文件夹，此时，你的项目目录已经生成了。
打开/test/test/conf/目录，新建“config.php” ,配置好你的数据库连接。
如果你想打开调试模式，请在数组中加入
(3)从form的“action=__URL__/insert”中可以看出，进行表单处理的动作是/test/index.php/index/insert,所以我们得新增insert动作来处理表单提交数据。在此之前，我们还有一件重要的事情要做，那就是新增model文件。通过model文件的建立，我们将能在insert动作中使用便捷的方法来操作数据库了
打开/test/test/lib/model/文件夹，新建文件TestModel.class.php.打开他，输入并保存以下代码
(4)接下来，我们需要在IndexAction类中增加一个首页默认显示动作index()来调用表单数据。
我们该设置一个模板了。在/test/test/tpl/default/index/下新建index.html(因为默认对应了index()。所以程序中可以直接assign.而不用去指定模板文件。当然，这是可以配置的。)
保存他。接着输入
恭喜你。你已经学会了如何利用thinkphp制作分页了！