php网站实例

去年帮朋友修一个老论坛，站实源码丢过来一看，站实全是站实过程式 PHP，数据库查询直接写在循环里，站实一个页面跑了 47 次 SQL。站实服务器是站实台二手 Dell，风扇响得像要起飞。站实这就是站实很多“php网站实例”的真实样子——能跑，但跑得喘。站实

我打开 index.php，站实第一行就是站实 mysql_connect('localhost','root','123456')。密码明文写在代码里，站实数据库账号还是站实 root。这种写法在 2008 年遍地都是站实，现在看像在街上捡到一张没设密码的站实银行卡。我把它改成了 PDO，用预处理语句重写查询。改完以后，同样的页面只发 3 次 SQL，响应时间从 2.3 秒掉到 400 毫秒。朋友说“感觉换了台服务器”。其实服务器没换，只是不再让 PHP 干蠢事。

另一个例子是文件上传。很多 PHP 网站实例里，上传逻辑就是 move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/'.$ _FILES['file']['name'])。用户传个 shell.php 上来，直接就能执行。我见过一个真实案例：某小电商站被传了一个 1.php，里面就一行 eval($_POST['x'])，攻击者用菜刀连上去，把整个数据库导走了。修起来不复杂——改文件名、限制后缀、把上传目录的 PHP 执行权限关掉。但很多人写代码时根本没想到这一层。

PHP 网站实例里最容易被忽略的是错误处理。默认情况下，display_errors 是开着的。一旦数据库连接失败，页面上直接打印出数据库地址、用户名、密码。我习惯在入口文件加一行 ini_set('display_errors', 0)，然后把错误写进日志。用户看到的是“服务暂时不可用”，而不是你的服务器指纹。

会话管理也是重灾区。有人把 session 文件存在 /tmp，权限 777。有人用 $_COOKIE['user_id'] 判断登录，改个 cookie 就能变成管理员。我自己的做法很简单：session 存 Redis，登录态用 session_regenerate_id() 刷新，权限判断每次都查数据库。多一次查询，少一堆麻烦。

模板渲染这块，很多实例还在用 echo '

'。如果 $row['title'] 里带 <script>，XSS 就来了。我一般用 htmlspecialchars($row['title'], ENT_QUOTES, 'UTF-8') 包一层。或者干脆上 Twig，自动转义。别小看这个，一个论坛的站内信功能，就因为没转义，被人发了蠕虫，三天内所有用户都收到了带恶意链接的私信。

性能方面，我见过最离谱的是一个 PHP 网站实例，首页加载时用 file_get_contents 去请求自己的 API，然后再解析 JSON。这等于自己请求自己，多绕一圈。直接查数据库或者调内部函数就行。还有人在循环里 file_put_contents 写日志，每次请求写 200 次磁盘。改成 error_log 或者缓冲后批量写，磁盘 I/O 立刻降下来。

部署的时候，别用 root 跑 PHP-FPM。nginx 配 fastcgi_pass 127.0.0.1:9000，PHP-FPM 用 www-data 用户。目录权限设成 755，文件 644。上传目录单独挂载，noexec。这些不是理论，是踩过坑之后的肌肉记忆。

最后说个真事。有个朋友接了个外包，客户要求“三天上线一个企业站”。他直接下了个 CMS，装完发现后台登录处有 SQL 注入。他花了一天修漏洞，又花了一天改模板，第三天上线。客户很满意，但没人知道后台曾经能被人直接 union select 出管理员密码。PHP 网站实例就是这样——能跑起来只是起点，跑得稳、跑得安全，才是真正要花时间的地方。