怎么阻止php数据库异常 php防止sql注入的最佳方式

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

php 中怎么拦截数据库异常

sql语句问题是没有必要拦截的，如果把sql语句输出来让用户看到是件危险的事情，至于数据库或其他异常，可以参考set_error_handler(array('错误处理类', '方法'))，然后建立一个自己的错误处理类和方法，自己对错我进行处理，上面的函数也能让php触发错误时自动调用

记得采纳啊

相关问答

Q1: 如何对mysql抛出异常（php）

直接使用try...catch....结构。比如怎么阻止php数据库异常：

try

{

DB::query("SELECT count(*) FROM pre_111 WHERE fid = $fid";

}

catch（exception $ex）

{

echo($ex-getMessage());

}

Q2: PHP如何做好最基础的安全防范

PHP如何做好最基础的安全防范

php给了开发者极大的灵活性，但是这也为安全问题带来了潜在的隐患，PHP如何做好最基础的安全防范呢？下面我为大家解答一下，希望能帮到您！

当开发一个互联网服务的时候，必须时刻牢记安全观念，并在开发的代码中体现。PHP脚本语言对安全问题并不关心，特别是对大多数没有经验的开发者来说。每当你讲任何涉及到钱财事务等交易问题时，需要特别注意安全问题的考虑，例如开发一个论坛或者是一个购物车等。

　　安全保护一般性要点

不相信表单

对于一般的Javascript前台验证，由于无法得知用户的行为，例如关闭了浏览器的javascript引擎，这样通过POST恶意数据到服务器。需要在服务器端进行验证，对每个php脚本验证传递到的数据，防止XSS攻击和SQL注入。

不相信用户

要假设你的网站接收的每一条数据都是存在恶意代码的，存在隐藏的威胁，要对每一条数据都进行清理

　　关闭全局变量

在php.ini文件中进行以下配置：

register_globals = Off

如果这个配置选项打开之后，会出现很大的安全隐患。例如有一个process.php的脚本文件，会将接收到的数据插入到数据库，接收用户输入数据的表单可能如下：

input name="username" type ="text" size = "15" maxlength = "64"

这样，当提交数据到process.php之后，php会注册一个$username变量，将这个变量数据提交到process.php，同时对于任何POST或GET请求参数，都会设置这样的变量。如果不是显示进行初始化那么就会出现下面的问题：

?php

// Define $authorized = true only if user is authenticated

(authenticated_user()) {

$authorized = true;

}

此处，假设authenticated_user函数就是判断$authorized变量的值，如果开启了register_globals配置，那么任何用户都可以发送一个请求，来设置$authorized变量的值为任意值从而就能绕过这个验证。所有的这些提交数据都应该通过PHP预定义内置的全局数组来获取，包括$_POST、$_GET、$_FILES、$_SERVER、$_REQUEST等，其中$_REQUEST是一个$_GET/$_POST/$_COOKIE三个数组的联合变量，默认的顺序是$_COOKIE、$_POST、$_GET。

推荐的安全配置选项

error_reporting设置为Off：不要暴露错误信息给用户，开发的时候可以设置为ON

safe_mode设置为Off

register_globals设置为Off

将以下函数禁用：system、exec、passthru、shell_exec、proc_open、popen

open_basedir设置为 /tmp ，这样可以让session信息有存储权限，同时设置单独的网站根目录expose_php设置为Offallow_url_fopen设置为Offallow_url_include设置为Off

SQL注入攻击

对于操作数据库的SQL语句，需要特别注意安全性，因为用户可能输入特定语句使得原有的SQL语句改变了功能。类似下面的例子：

$sql ="select * from pinfo where product = '$product'";

此时如果用户输入的$product参数为：'39'; DROP pinfo; SELECT 'FOO

那么最终SQL语句就变成了如下的`样子：

select product from pinfo where product = '39';

DROP pinfo;

SELECT 'FOO'

这样就会变成三条SQL语句，会造成pinfo表被删除，这样会造成严重的后果。这个问题可以简单的使用PHP的内置函数解决：

$sql = 'Select * from pinfo where product = '"' mysql_real_escape_string($product) . '"';

防止SQL注入攻击需要做好两件事：对输入的参数总是进行类型验证对单引号、双引号、反引号等特殊字符总是使用mysql_real_escape_string函数进行转义但是，这里根据开发经验，不要开启php的Magic Quotes，这个特性在php6中已经废除，总是自己在需要的时候进行转义。

防止基本的XSS攻击

XSS攻击不像其他攻击，这种攻击在客户端进行，最基本的XSS工具就是防止一段javascript脚本在用户待提交的表单页面，将用户提交的数据和cookie偷取过来。XSS工具比SQL注入更加难以防护，各大公司网站都被XSS攻击过，虽然这种攻击与php语言无关，但可以使用php来筛选用户数据达到保护用户数据的目的，这里主要使用的是对用户的数据进行过滤，一般过滤掉HTML标签，特别是a标签。下面是一个普通的过滤方法：

function transform_HTML( $string , $length null) { // Helps prevent XSS attacks

// Remove dead space.

$string = trim( $string );

// Prevent potential Unicode codec problems.

$string = utf8_decode( $string );

// HTMLize HTML-specific characters.

$string = htmlentities( $string , ENT_NOQUOTES);

$string = str_replace ( "#" , "#" , $string );

$string = str_replace ( "%" , "%" , $string );

$length = intval ( $length );

if ( $length 0) {

$string = substr ( $string , 0, $length );

}return $string ;

}

这个函数将HTML的特殊字符转换为了HTML实体，浏览器在渲染这段文本的时候以纯文本形式显示。如bold会被显示为： BoldText 上述函数的核心就是htmlentities函数，这个函数将html特殊标签转换为html实体字符，这样可以过滤大部分的XSS攻击。但是对于有经验的XSS攻击者，有更加巧妙的办法进行攻击：将他们的恶意代码使用十六进制或者utf-8编码，而不是普通的ASCII文本，例如可以使用下面的方式进行：

　　这样浏览器渲染的结果其实是：

a href = ""

SCRIPT Dosomethingmalicious

这样就达到了攻击的目的。为了防止这种情况，需要在transform_HTML函数的基础上再将#和%转换为他们对应的实体符号，同时加上了$length参数来限制提交的数据的最大长度。

　　使用SafeHTML防止XSS攻击

上述关于XSS攻击的防护非常简单，但是不包含用户的所有标记，同时有上百种绕过过滤函数提交javascript代码的方法，也没有办法能完全阻止这个情况。目前，没有一个单一的脚本能保证不被攻击突破，但是总有相对来说防护程度更好的。一共有两个安全防护的方式：白名单和黑名单。其中白名单更加简单和有效。一种白名单解决方案就是SafeHTML，它足够智能能够识别有效的HTML，然后就可以去除任何危险的标签。这个需要基于HTMLSax包来进行解析。安装使用SafeHTML的方法：

1、前往下载最新的SafeHTML

2、将文件放入服务器的classes 目录，这个目录包含所有的SafeHTML和HTMLSax库

3、在自己的脚本中包含SafeHTML类文件

4、建立一个SafeHTML对象

5、使用parse方法进行过滤

?php/* If you're storing the HTMLSax3.php in the /classes directory, along

with the safehtml.php script, define XML_HTMLSAX3 as a null string. */define(XML_HTMLSAX3, '' );// Include the class file.require_once ( 'classes/safehtml.php' );

// Define some sample bad code.

$data = This data would raise an alert

" ;// Create a safehtml object.$safehtml = new safehtml();// Parse and sanitize the data.$safe_data = $safehtml -parse( $data );// Display result. echo 'The sanitized data is ' . $safe_data ;

SafeHTML并不能完全防止XSS攻击，只是一个相对复杂的脚本来检验的方式。

使用单向HASH加密方式来保护数据

单向hash加密保证对每个用户的密码都是唯一的，而且不能被破译的，只有最终用户知道密码，系统也是不知道原始密码的。这样的一个好处是在系统被攻击后攻击者也无法知道原始密码数据。加密和Hash是不同的两个过程。与加密不同，Hash是无法被解密的，是单向的；同时两个不同的字符串可能会得到同一个hash值，并不能保证hash值的唯一性。MD5函数处理过的hash值基本不能被破解，但是总是有可能性的，而且网上也有MD5的hash字典。

使用mcrypt加密数据MD5 hash函数可以在可读的表单中显示数据，但是对于存储用户的信用卡信息的时候，需要进行加密处理后存储，并且需要之后进行解密。最好的方法是使用mcrypt模块，这个模块包含了超过30中加密方式来保证只有加密者才能解密数据。

?php$data = "Stuff you want encrypted" ;

$key = "Secret passphrase used to encrypt your data" ;

$cipher = "MCRYPT_SERPENT_256" $mode = "MCRYPT_MODE_CBC" ;function encrypt( $data, $key , cipher , $mode ) {// Encrypt datareturn (string) base64_encode ( mcrypt_encrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), $data , $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) ) );

}function decrypt( $data , $key ,$cipher , $mode ) {// Decrypt data

return (string) mcrypt_decrypt ( $cipher , substr (md5( $key ),0,mcrypt_get_key_size( $cipher , $mode )), base64_decode ( $data ), $mode , substr (md5( $key ),0,mcrypt_get_block_size( $cipher , $mode )) );

mcrypt函数需要以下信息：

1、待加密数据

2、用来加密和解密数据的key

3、用户选择的加密数据的特定算法（cipher：

如 MCRYPT_TWOFISH192

,MCRYPT_SERPENT_256， MCRYPT_RC2

, MCRYPT_DES

, and MCRYPT_LOKI97

）

4、用来加密的模式

5、加密的种子，用来起始加密过程的数据，是一个额外的二进制数据用来初始化加密算法

6、加密key和种子的长度，使用mcrypt_get_key_size函数和mcrypt_get_block_size函数可以获取如果数据和key都被盗取，那么攻击者可以遍历ciphers寻找开行的方式即可，因此我们需要将加密的key进行MD5一次后保证安全性。同时由于mcrypt函数返回的加密数据是一个二进制数据，这样保存到数据库字段中会引起其他错误，使用了base64encode将这些数据转换为了十六进制数方便保存。

;

Q3: 如何在PHP中阻止SQL注入？

【一、在服务器端配置】

安全怎么阻止php数据库异常，PHP代码编写是一方面，PHP的配置更是非常关键。

我们php手手工安装的，php的默认配置文件在 /usr/local/apache2/conf/php.ini，我们最主要就是要配置php.ini中的内容，让我们执行 php能够更安全。整个PHP中的安全设置主要是为怎么阻止php数据库异常了防止phpshell和SQL Injection的攻击，一下我们慢慢探讨。我们先使用任何编辑工具打开 /etc/local/apache2/conf/php.ini，如果你是采用其他方式安装，配置文件可能不在该目录。

(1) 打开php的安全模式

php的安全模式是个非常重要的内嵌的安全机制，能够控制一些php中的函数，比如system()，

同时把很多文件操作函数进行了权限控制，也不允许对某些关键文件的文件，比如/etc/passwd，

但是默认的php.ini是没有打开安全模式的，我们把它打开：

safe_mode = on

(2) 用户组安全

当safe_mode打开时，safe_mode_gid被关闭，那么php脚本能够对文件进行访问，而且相同

组的用户也能够对文件进行访问。

建议设置为：

safe_mode_gid = off

如果不进行设置，可能我们无法对我们服务器网站目录下的文件进行操作了，比如我们需要

对文件进行操作的时候。

(3) 安全模式下执行程序主目录

如果安全模式打开了，但是却是要执行某些程序的时候，可以指定要执行程序的主目录：

safe_mode_exec_dir = D:/usr/bin

一般情况下是不需要执行什么程序的，所以推荐不要执行系统程序目录，可以指向一个目录，

然后把需要执行的程序拷贝过去，比如：

safe_mode_exec_dir = D:/tmp/cmd

但是，我更推荐不要执行任何程序，那么就可以指向我们网页目录：

safe_mode_exec_dir = D:/usr/www

(4) 安全模式下包含文件

如果要在安全模式下包含某些公共文件，那么就修改一下选项：

safe_mode_include_dir = D:/usr/www/include/

其实一般php脚本中包含文件都是在程序自己已经写好了，这个可以根据具体需要设置。

(5) 控制php脚本能访问的目录

使用open_basedir选项能够控制PHP脚本只能访问指定的目录，这样能够避免PHP脚本访问

不应该访问的文件，一定程度上限制了phpshell的危害，我们一般可以设置为只能访问网站目录：

open_basedir = D:/usr/www

(6) 关闭危险函数

如果打开了安全模式，那么函数禁止是可以不需要的，但是我们为了安全还是考虑进去。比如，

我们觉得不希望执行包括system()等在那的能够执行命令的php函数，或者能够查看php信息的

phpinfo()等函数，那么我们就可以禁止它们：

disable_functions = system,passthru,exec,shell_exec,popen,phpinfo

如果你要禁止任何文件和目录的操作，那么可以关闭很多文件操作

disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown

以上只是列了部分不叫常用的文件处理函数，你也可以把上面执行命令函数和这个函数结合，

就能够抵制大部分的phpshell了。

(7) 关闭PHP版本信息在http头中的泄漏

我们为了防止黑客获取服务器中php版本的信息，可以关闭该信息斜路在http头中：

expose_php = Off

比如黑客在 telnet 80 的时候，那么将无法看到PHP的信息。

(8) 关闭注册全局变量

在PHP中提交的变量，包括使用POST或者GET提交的变量，都将自动注册为全局变量，能够直接访问，

这是对服务器非常不安全的，所以我们不能让它注册为全局变量，就把注册全局变量选项关闭：

register_globals = Off

当然，如果这样设置了，那么获取对应变量的时候就要采用合理方式，比如获取GET提交的变量var，

那么就要用$_GET['var']来进行获取，这个php程序员要注意。

(9) 打开magic_quotes_gpc来防止SQL注入

SQL注入是非常危险的问题，小则网站后台被入侵，重则整个服务器沦陷，

所以一定要小心。php.ini中有一个设置：

magic_quotes_gpc = Off

这个默认是关闭的，如果它打开后将自动把用户提交对sql的查询进行转换，

比如把 ' 转为 \'等，这对防止sql注射有重大作用。所以我们推荐设置为：

magic_quotes_gpc = On

(10) 错误信息控制

一般php在没有连接到数据库或者其他情况下会有提示错误，一般错误信息中会包含php脚本当

前的路径信息或者查询的SQL语句等信息，这类信息提供给黑客后，是不安全的，所以一般服务器建议禁止错误提示：

display_errors = Off

如果你却是是要显示错误信息，一定要设置显示错误的级别，比如只显示警告以上的信息：

error_reporting = E_WARNING E_ERROR

当然，我还是建议关闭错误提示。

(11) 错误日志

建议在关闭display_errors后能够把错误信息记录下来，便于查找服务器运行的原因：

log_errors = On

同时也要设置错误日志存放的目录，建议根apache的日志存在一起：

error_log = D:/usr/local/apache2/logs/php_error.log

注意：给文件必须允许apache用户的和组具有写的权限。

MYSQL的降权运行

新建立一个用户比如mysqlstart

net user mysqlstart fuckmicrosoft /add

net localgroup users mysqlstart /del

不属于任何组

如果MYSQL装在d:\mysql ，那么，给 mysqlstart 完全控制的权限

然后在系统服务中设置，MYSQL的服务属性，在登录属性当中，选择此用户 mysqlstart 然后输入密码，确定。

重新启动 MYSQL服务，然后MYSQL就运行在低权限下了。

如果是在windos平台下搭建的apache我们还需要注意一点，apache默认运行是system权限，

这很恐怖，这让人感觉很不爽.那我们就给apache降降权限吧。

net user apache fuckmicrosoft /add

net localgroup users apache /del

ok.我们建立了一个不属于任何组的用户apche。

我们打开计算机管理器，选服务，点apache服务的属性，我们选择log on，选择this account，我们填入上面所建立的账户和密码，

重启apache服务，ok，apache运行在低权限下了。

实际上我们还可以通过设置各个文件夹的权限，来让apache用户只能执行我们想让它能干的事情，给每一个目录建立一个单独能读写的用户。

这也是当前很多虚拟主机提供商的流行配置方法哦，不过这种方法用于防止这里就显的有点大材小用了。

【二、在PHP代码编写】

虽然国内很多PHP程序员仍在依靠addslashes防止SQL注入，还是建议大家加强中文防止SQL注入的检查。addslashes的问题在于黑客可以用0xbf27来代替单引号，而addslashes只是将0xbf27修改为0xbf5c27，成为一个有效的多字节字符，其中的0xbf5c仍会被看作是单引号，所以addslashes无法成功拦截。

当然addslashes也不是毫无用处，它是用于单字节字符串的处理，多字节字符还是用mysql_real_escape_string吧。

另外对于php手册中get_magic_quotes_gpc的举例：

if (!get_magic_quotes_gpc()) {

$lastname = addslashes($_POST[‘lastname’]);

} else {

$lastname = $_POST[‘lastname’];

}

最好对magic_quotes_gpc已经开放的情况下，还是对$_POST[’lastname’]进行检查一下。

再说下mysql_real_escape_string和mysql_escape_string这2个函数的区别：

mysql_real_escape_string 必须在(PHP 4 = 4.3.0, PHP 5)的情况下才能使用。否则只能用 mysql_escape_string ，两者的区别是：mysql_real_escape_string 考虑到连接的

当前字符集，而mysql_escape_string 不考虑。

总结一下：

* addslashes() 是强行加\；

* mysql_real_escape_string() 会判断字符集，但是对PHP版本有要求；

* mysql_escape_string不考虑连接的当前字符集。

-------------------------------------------------------------------------------------------------

在PHP编码的时候，如果考虑到一些比较基本的安全问题，首先一点：

1. 初始化你的变量

为什么这么说呢怎么阻止php数据库异常？我们看下面的代码：

PHP代码

?php

if ($admin)

{

echo '登陆成功！';

include('admin.php');

}

else

{

echo '你不是管理员，无法进行管理！';

}

好，我们看上面的代码好像是能正常运行，没有问题，那么加入我提交一个非法的参数过去呢，那么效果会如何呢？比如我们的这个页是，那么我们提交：，呵呵，你想一些，我们是不是直接就是管理员了，直接进行管理。

当然，可能我们不会犯这么简单错的错误，那么一些很隐秘的错误也可能导致这个问题，比如phpwind论坛有个漏洞，导致能够直接拿到管理员权限，就是因为有个$skin变量没有初始化，导致了后面一系列问题。那么我们如何避免上面的问题呢？首先，从php.ini入手，把php.ini里面的register_global =off，就是不是所有的注册变量为全局，那么就能避免了。但是，我们不是服务器管理员，只能从代码上改进了，那么我们如何改进上面的代码呢？我们改写如下：

PHP代码

?php

$admin = 0; // 初始化变量

if ($_POST['admin_user'] $_POST['admin_pass'])

{

// 判断提交的管理员用户名和密码是不是对的相应的处理代码

// ...

$admin = 1;

}

else

{

$admin = 0;

}

if ($admin)

{

echo '登陆成功！';

include('admin.php');

}

else

{

echo '你不是管理员，无法进行管理！';

}

那么这时候你再提交就不好使了，因为我们在一开始就把变量初始化为 $admin = 0 了，那么你就无法通过这个漏洞获取管理员权限。

2. 防止SQL Injection (sql注射)

SQL 注射应该是目前程序危害最大的了，包括最早从asp到php，基本上都是国内这两年流行的技术，基本原理就是通过对提交变量的不过滤形成注入点然后使恶意用户能够提交一些sql查询语句，导致重要数据被窃取、数据丢失或者损坏，或者被入侵到后台管理。

那么我们既然了解了基本的注射入侵的方式，那么我们如何去防范呢？这个就应该我们从代码去入手了。

我们知道Web上提交数据有两种方式，一种是get、一种是post，那么很多常见的sql注射就是从get方式入手的，而且注射的语句里面一定是包含一些sql语句的，因为没有sql语句，那么如何进行，sql语句有四大句：select 、update、delete、insert，那么我们如果在我们提交的数据中进行过滤是不是能够避免这些问题呢？

于是我们使用正则就构建如下函数：

PHP代码

?php

function inject_check($sql_str)

{

function verify_id($id=null)

{

if (!$id) { exit('没有提交参数！'); } // 是否为空判断

elseif (inject_check($id)) { exit('提交的参数非法！'); } // 注射判断

elseif (!is_numeric($id)) { exit('提交的参数非法！'); } // 数字判断

$id = intval($id); // 整型化

return $id;

}

呵呵，那么我们就能够进行校验了，于是我们上面的程序代码就变成了下面的：

PHP代码

?php

if (inject_check($_GET['id']))

{

exit('你提交的数据非法，请检查后重新提交！');

}

else

{

$id = verify_id($_GET['id']); // 这里引用了我们的过滤函数，对$id进行过滤

echo '提交的数据合法，请继续！';

}

好，问题到这里似乎都解决了，但是我们有没有考虑过post提交的数据，大批量的数据呢？

比如一些字符可能会对数据库造成危害，比如 ' _ ', ' %'，这些字符都有特殊意义，那么我们如果进行控制呢？还有一点，就是当我们的php.ini里面的magic_quotes_gpc = off的时候，那么提交的不符合数据库规则的数据都是不会自动在前面加' '的，那么我们要控制这些问题，于是构建如下函数：

PHP代码

?php

function str_check( $str )

{

if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否打开

{

$str = addslashes($str); // 进行过滤

}

$str = str_replace("_", "\_", $str); // 把 '_'过滤掉

$str = str_replace("%", "\%", $str); // 把' % '过滤掉

return $str;

}

我们又一次的避免了服务器被沦陷的危险。

最后，再考虑提交一些大批量数据的情况，比如发贴，或者写文章、新闻，我们需要一些函数来帮我们过滤和进行转换，再上面函数的基础上，我们构建如下函数：

PHP代码

?php

function post_check($post)

{

if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否为打开

{

$post = addslashes($post); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤

}

$post = str_replace("_", "\_", $post); // 把 '_'过滤掉

$post = str_replace("%", "\%", $post); // 把' % '过滤掉

$post = nl2br($post); // 回车转换

$post= htmlspecialchars($post); // html标记转换

return $post;

}

呵呵，基本到这里，我们把一些情况都说了一遍，其实我觉得自己讲的东西还很少，至少我才只讲了两方面，再整个安全中是很少的内容了，考虑下一次讲更多，包括php安全配置，apache安全等等，让我们的安全正的是一个整体，作到最安全。

最后在告诉你上面表达的：1. 初始化你的变量 2. 一定记得要过滤你的变量

Q4: 一键安装php后，不能打开某些php网页文件，提示什么数据库错误哦等等一些问题。安装完后怎样具体配置php

PHP是一种广泛使用的动态脚本语言，不过在IIS中并没有内置对PHP语言的支持，因此如果需要使用PHP，必须自行安装。PHP可以安装为CGI模式或者 ISAPI模式，由于ISAPI模式具有更高的性能，因此我建议大家使用ISAPI模式。PHP具有PHP4、PHP5两种版本，不同的版本安装时有些区别，在此我分别进行介绍。在PHP官方网站（）上提供了PHP解析器的两种安装包的下载，分别是完整文件的压缩包和不包含扩展库文件的Installer安装包。Installer安装包只能安装PHP为CGI模式，如果你只需要让PHP工作在CGI模式，可以下载Installer安装包并执行，它可以自动安装并配置PHP。安装PHP4 PHP4的安装比较简单，在此我仅介绍ISAPI模式的安装。本文写作时PHP4的最新版本是4.4.2，下载完整安装包后，将它解压到C盘根目录下，将其目录改名为PHP（个人习惯 :) ），如下图所示： PHP执行时需要php4ts.dll文件，此文件位于“C:\PHP”目录中。你可以将“C:\PHP”添加到path系统环境变量中，也可以将php4ts.dll文件复制到其他path中已经定义的目录，例如“C:\windows”、“C:\windows\system32”目录中；在此我将其复制到“C:\windows”目录中；现在我们需要在“C:\windows”目录下创建PHP配置文件，在PHP目录下自带了两个PHP配置文件样本，分别名为php.ini-dist和php.ini-recommended。其中php.ini-recommended在性能和安全性上有更大的提高，推荐使用；但是如果使用php.ini-recommended出现问题，则可以使用php.ini-dist，它具有最简单的配置，但是也具有最好的兼容性。将php.ini-recommended文件复制到“C:\windows”下，然后改名为“php.ini”；此时，基础配置完成，我们需要在IIS中进行进一步的设置。在IIS管理控制台中，右击Web服务扩展，然后选择添加一个新的Web服务扩展，在弹出的新建Web服务扩展对话框，输入扩展名为php，然后添加按钮，选择“c:\php\sapi\php4isapi.dll”，然后勾选设置扩展状态为允许，再点击确定；此时，Web服务扩展添加完成，如下图所示：

Q0 |8 m }* F# d3 N$ @! k; K现在，我们还需要在Web站点属性中添加应用程序映射，右击需要启用PHP支持的Web站点，选择属性；如果要对所有Web站点启用PHP支持，则右击网站，然后选择属性，在网站全局所做的配置可以应用到所有已有的站点并且将应用到所有新建的Web站点；在弹出的Web站点属性对话框上，点击主目录标签，然后点击配置按钮；需要注意的是，如果Web站点的执行权限为无，那么你需要修改为纯脚本；然后在弹出的应用程序配置对话框上点击添加按钮；在弹出的添加/编辑应用程序扩展名映射对话框上，点击浏览选择可执行文件为“c:\php\sapi\php4isapi.dll”，然后输入扩展名为php，点击确定即可；

! I) G/ g0 s) y% I依次点击确定回到IIS管理控制台，然后我们可以在对应站点的主目录创建一个php脚本文件来测试PHP支持是否启用，例如我在Web站点根目录创建一个名为phpinfo.php的文件，包含以下内容： ? phpinfo() ? 然后在浏览器中访问，如下图所示，ISAPI模式的PHP4安装成功。如果你需要在PHP4启用PHP扩展，例如GD2，则需要执行以下三步： 1、修改PHP.ini文件（默认为C:\windows目录中）中的extension_dir变量，将其指向PHP4的扩展文件目录，默认为“c:/php/extensions”； 1、 2、修改PHP.ini中后面的扩展变量，去掉对应扩展库前注释用的分号从而启用此扩展；如下图，我启用GD2； 3、最后，也是最关键的一步，你需要将PHP扩展所依赖的DLL文件的路径（“c:\php\dlls”）添加到path变量中，或者将这些DLL文件复制到 path变量已定义的路径中，例如“C:\windows”、“C:\windows\system32”目录中，然后重启IIS服务以让它读取修改后的配置文件。从phpinfo上获取的信息可以看出PHP扩展添加成功。下图是配置的PHP扩展目录，从下图可以看出GD2扩展配置成功。

8 N7 a( R6 s; ?; }

安装PHP5 安装PHP5比安装PHP4更为复杂，虽然可以采用和安装PHP4同样的方式来安装ISAPI模式的PHP5，但是我建议你同时下载Installer安装包和完整安装包，先运行Installer安装包安装CGI模式的PHP，然后在CGI模式的基础上配置PHP5为ISAPI模式。这样更为方便，更重要的是可以避免一些问题。本文写作时PHP5的最新版本是5.1.2，下载Installer安装包和完整安装包后，首先将完整安装包解压到 “c:\php5”目录下，如下图所示：和PHP4不同，PHP5中的PHP扩展所依赖的DLL文件并没有单独存放在一个子目录中，而是放置在php5目录中，因此我们最好为php5目录添加一个path变量。右击我的电脑，选择属性，然后在弹出的系统属性对话框上点击高级标签，然后点击环境变量按钮；

在弹出的环境变量对话框上，在下部的系统变量列表框中找到path变量并双击，然后在弹出的编辑系统变量对话框的变量值中添加“c:\php5”目录，依次点击确定返回。现在运行Installer安装包，在弹出的欢迎页和授权协议页点击下一步；在安装类型页，根据你的喜好进行选择，建议选择高级，这样可以自定义更多的选项，选择后点击下一步；在目标目录页，选择我们将完整安装包解压的目录“c:\php5”，然后点击下一步；在备份替换的文件页，选择不，点击下一步；在选择上传临时目录页，选择用于缓存上传文件的临时目录，你可以设置为任意目录，但是客户访问Web站点时所使用的用户账户（通常是IUSR_服务器名）必须具有此目录的读写权限；在此我接受默认设置，点击下一步，PHP安装程序会自动创建此目录；在选择会话保存目录页，选择用于保存用户会话数据的临时目录，你可以设置为任意目录，但是客户访问Web站点时所使用的用户账户（通常是IUSR_服务器名）必须具有此目录的读写权限；在此我接受默认设置，点击下一步，PHP安装程序会自动创建此目录；在邮件配置页，如果你具有对应的邮件服务器则输入相应选项，否则直接点击下一步；

在错误报告级别页，接受默认的显示所有错误、警告和提示，点击下一步；在PHP完全安装成功时，我们应配置PHP不显示任何错误信息，从而增强Web站点的安全性；在选择服务器类型页，根据你的服务器类型进行选择，在此我选择Microsoft IIS 6 or higher，点击下一步；在文件扩展名页，接受默认的只选择.php，点击下一步；在开始安装页点击下一步；此时，PHP开始进行安装，最后在安装完成的对话框上点击确定；

! Q! z! T3 e/ [" s* s5 W现在我们需要添加客户访问Web站点时所使用的用户账户（通常是IUSR_服务器名）对于上传临时目录和会话保存目录的读写权限，在“c:\php5”目录下选择sessiondata和uploadtemp这两个目录后右击，选择属性，然后在安全标签上添加相应用户账户的读写权限，例如在此我添加了IUSR_MUNICH的读写权限。 Installer安装包只是在Web站点中添加了应用程序映射，并没有在IIS中添加Web服务扩展，你必须为CGI模式执行文件php-cgi.exe添加一个Web服务扩展后才能使用PHP，如下图所示：

发表于 2008-9-17 10:26 | 只看该作者

此时，运行phpinfo来查看，如下图所示，CGI模式的PHP5已经安装好了。现在我们来修改PHP5为ISAPI模式，首先修改应用程序映射，在IIS管理控制台中右击网站，然后选择属性，在弹出的Web站点属性对话框上，点击主目录标签，然后点击配置按钮，在弹出的应用程序配置对话框中，你可以看到php扩展名是映射到“c:\php5\php-cgi.exe”，双击此项，修改其映射到“c:\php5\php5isapi.dll”，然后依次点击确定返回到IIS管理控制台。然后在Web服务扩展中进行同样的修改，如下图所示，然后点击确定；在phpinfo中刷新，此时PHP5已经运行在ISAPI模式下了。当PHP5安装好后，我们需要修改PHP.ini提高配置的安全性，在PHP.ini中修改以下变量：

* safe_mode = on ：启用PHP的安全模式，可以获得更高的安全性；

; O2 A) W( C% b) N

* cgi.force.redirect = 1 ： cgi.force.redirect为CGI方式的运行提供了更高的安全性，默认PHP是启用的，但是在通过Installer安装包安装PHP时会设置为禁用（cgi.force.redirect = 0），你可以简单的删除此行（cgi.force.redirect = 0）即可； - k) ~* h) U: X2 `: e5 b% n

* display_errors = off ：不显示任何PHP的错误，这样可以提高Web站点的安全性，但是不利于Web站点出现问题时的调试；

3 W8 {' q [! \

如果你需要在PHP5启用PHP扩展，例如不再作为默认扩展的mysql或者GD2，操作方式和PHP4是一样的， 1、修改PHP.ini文件（默认为C:\windows目录中）中的extension_dir变量，将其指向PHP5中的扩展文件目录，在此为“c:/php5/ext”；

发表于 2008-9-17 10:27 | 只看该作者

2、修改PHP.ini中后面的扩展变量，去掉对应扩展库前注释用的分号从而启用此扩展；如下图，我启用Mysql和GD2； 3、由于在前面我已经将PHP扩展所依赖的DLL文件的路径（“c:\php5”）添加到了path变量中，所以在此无需进行其他操作。否则你需要将这些 DLL文件复制到path变量已定义的路径中，例如“C:\windows”、“C:\windows\system32”目录中。最后重启IIS服务以让它读取修改后的配置文件。从phpinfo上获取的信息可以看出PHP扩展添加成功，下面的图分别是配置的PHP扩展目录、GD2和mysql扩展。

六、Look’n’stop的一些高级功能9 Q! D7 W) j9 }7 C- d

目前Look’n’stop2.05p2版部分功能默认没有打开，官方已有Look’n’stop2.05p3版下载，在P3版安装完成后在它的安装目录下会有一些与高级应用有关的文件，大家可以通过看该目录下的说明文件了解其用途。建议大家打开下述高级功能，此时系统才是最安全的。。 n% S: g. w E# Y# a

1.把Look’n’stop作为服务启动2 u; ~4 L* G- O z

Look’n’stop2.05P2版的虚拟硬件驱动程序就是系统驱动级的，操作系统启动时该驱动程序会启动（仅次于操作系统内核），所以 Look’n’stop可以提前于病毒和木马启动，并及时监控，这点对于防火墙来说是非常有用的，但该驱动只用于发现连接企图，而不采取任何行为。

4 I% ?0 ~; P" t, F Look’n’stop2.05p3版中提供了把它的主程序（不是虚拟硬件驱动）作为服务启动的功能，在这种情况就可以及时给用户提示，由用户做决定了。" m- @, B5 P9 d m# |$ i0 }6 o }

2.打开Look’n’stop的一些高级功能

+ O U3 M( q; t ~5 U7 R P3版提供了一个注册文件，导入这个注册文件就打开了它的一些高级功能，如隐藏进程调用隐藏进程、线程侵加、DLL检测等功能，这些功能全部是防止机器中的恶意程序企图连接外部的，Look’n’stop能有效进行阻止。此后，当重新启动操作系统后，随便运行一、二个需要上网的程序后，打开“选项”标签，点“控制台”，点“驱动日志”，就会发现如图16所示一些信息。

0 [9 Z+ m3 R3 S* C# B" V m# B j9 b H$ O S3 t

当你看到F02_ok等这五条内容（并不一定同时出现，顺序也可能不同）时，说明Look’n’stop的高级功能全部正常启用了。8 {. p U3 }3 V3 v6 N0 O( d; z0 R. b

驱动日志显示的信息及其对应的设置项或者隐藏参数键值解释如下：

* t! f7 ]/ h: s P+ l2 y- vFO2_Ok 监视线程侵加-----打开“高级设置”--“监视线程侵加”5 V) g/ C) d7 e! ?- Y

: a6 \: l/ T1 W. ]

FO2_2_Ok 监视线程侵加的增强（如Copycat这种类型行为的木马）-----"CheckVAEUDTF"=dword:00000001

0 |2 m8 m0 L0 Q. l1 m! ?' H# j! k6 ?( |' L5 v

FO3_Ok 监视利用DNS解析行为的木马。因为DNS请求是由OS内核完成的，故多数防火墙对内核是放行的（如DNStester这种类型）-----"CheckDNSQ"=dword:00000001: k5 U, T3 h- N$ w+ _8 W% a6 Y

w9 r+ Y* |- _' Y: A0 ^FO4_Ok 防止用DLL插入到其它进程，并不是直接去调用某个程序的方式（如Pcaudit等）同时打开DLL检测-----"CheckHSRE"=dword:00000001和"ActivatedSoon"=dword:00000001' g# e4 ^% ~ T

' X) g- s" U/ e- y( s9 \, |

FO5_Ok 防止并不生成线程的直接代码插入，亦即内存数据修改（如Copycat、Thermite等）-----"CheckVAEUDTF"= dword:00000001% f, U0 _0 q$ r5 Q' F! ^) |3 H

3. 打开高级功能后打印机共享问题的解决

, H/ Y6 \ \4 C3 x 让Look’n’stop作为系统服务启动后，以简单共享方式建立的共享打印机是不能被其它用户使用的。原因是Look’n’stop阻止了UPnP协议的1900端口的通讯造成的，没办法，因为Look’n’stop监制非常严。

/ G0 }8 g! E6 X# x1 I/ u5 P 解决办法是在“互联网过滤”规则中加一个规则“以太网类型：IP；协议：UDP；目标区IP地址：239.255.255.250；目标区TCP/UDP端口等于：1900；并允许”就可以了。

Q5: php频繁刷新网页运行一段时间后出现数据库连接错误？

这是由于数据库连接数过多导致的，说明之前建立的连接你没有释放。

看到你的需求是实时获取数据库里面的内容，可以考虑使用内存数据库，这样返回的效率高，也会避免过多连接的错误。

可以使用redis和memcache来解决这个问题。代码如下，记得首先要安装redis，并且要安装php-redis扩展。

?php

$redis = new Redis();

$redis-connect('127.0.0.1', 6379);//serverip port