目前，基於PHP的網站開發已經成為目前網站開發的主流，下面整理了一些PHP常見漏洞的防範措施，希望對大家有所幫助!
1、對於Session漏洞的防範
從前面的分析可以知道，Session攻擊最常見的就是會話劫持，也就是黑客通過各種攻擊手段獲取使用者的Session ID，然後利用被攻擊使用者的身份來登入相應網站。為此，這裡可以用以下幾種方法進行防範:一是定期更換Session ID，更換Session ID可以用PHP自帶函式來實現;二是更換Session名稱，通常情況下Session的預設名稱是PHPSESSID，這個變數一般是在cookie中儲存的，如果更改了它的名稱，就可以阻檔黑客的`部分攻擊;三是對透明化的Session ID進行關閉處理，所謂透明化也就是指在http請求沒有使用cookies來制定Session id時，Sessioin id使用連結來傳遞.關閉透明化Session ID可以通過操作文件來實現;四是通過URL傳遞隱藏引數，這樣可以確保即使黑客獲取了session資料，但是由於相關引數是隱藏的，它也很難獲得Session ID變數值。
2、對SQL注入漏洞的防範
黑客進行SQL注入手段很多，而且靈活多變，但是SQL注人的共同點就是利用輸入過濾漏洞。因此，要想從根本上防止SQL注入，根本解決措施就是加強對請求命令尤其是查詢請求命令的過濾。具體來說，包括以下幾點:一是把過濾性語句進行引數化處理，也就是通過引數化語句實現使用者資訊的輸入而不是直接把使用者輸入嵌入到語句中。二是在網站開發的時候儘可能少用解釋性程式，黑客經常通過這種手段來執行非法命令;三是在網站開發時儘可能避免網站出現bug，否則黑客可能利用這些資訊來攻擊網站;僅僅通過防禦SQL注入還是不夠的，另外還要經常使用專業的漏洞掃描工具對網站進行漏洞掃描。
3、對指令碼執行漏洞的防範
黑客利用指令碼執行漏洞進行攻擊的手段是多種多樣的，而且是靈活多變的，對此，必須要採用多種防範方法綜合的手段，才能有效防止黑客對指令碼執行漏洞進行攻擊。這裡常用的方法方法有以下四種。一是對可執行檔案的路徑進行預先設定。可以通過safe_moade_exec_dir來實現;二是對命令引數進行處理，一般用escapeshellarg函式實現;三是用系統自帶的函式庫來代替外部命令;四是在操作的時候進可能減少使用外部命令。
4、對全域性變數漏洞防範
對於PHP全域性變數的漏洞問題，以前的PHP版本存在這樣的問題，但是隨著PHP版本升級到5.5以後，可以通過對的設定來實現，設定ruquest_order為GPC。另外在配置檔案中，可以通過對 Magic _quotes_runtime進行布林值設定是否對外部引人的資料中的溢位字元加反斜線。為了確保網站程式在服務器的任何設定狀態下都能執行。可以在整個程式開始的時候用get_magic_quotes_runtime檢測設定狀態決定是否要手工處理，或者在開始(或不需要自動轉義的時候)用set_magic_quotes_runtime(0)關掉。
5、對檔案漏洞的防範
對於PHP檔案漏桐可以通過對伺服器進行設定和配置來達到防範目的。這裡具體的操作如下:一是把PHP程式碼中的錯誤提示關閉，這樣可以避免黑客通過錯誤提示獲取資料庫資訊和網頁檔案物理路徑;二是對open_basedir盡心設定，也就是對目錄外的檔案操作進行禁止處理;這樣可以對本地檔案或者遠端檔案起到保護作用，防止它們被攻擊，這裡還要注意防範Session檔案和上載檔案的攻擊;三是把safe-made設定為開啟狀態，從而對將要執行的命令進行規範，通過禁止檔案上傳，可以有效的提高PHP網站的安全係數。
