开发人员、数据库架构师和系统管理员在将PHP应用程序部署到服务器之前应该采取预防措施。大多数预防措施可以通过几行代码或少量调整应用程序设置来完成。

# 1：管理安装脚本

如果开发商已经安装了一套第三方应用程序的PHP脚本，该脚本是用来安装整个应用程序的工作组件并提供一个访问点。大部分的第三方软件建议安装后，删除安装脚本的目录包含，但开发商要保持安装脚本，和他们可以创建.htaccess文件控制管理访问目录。

authType基本

authname管理员只

authuserfile / usr /局部/ / /密码passwd Apache

需要有效的用户

任何未经授权的用户，如果您试图访问受保护的目录，将看到提示输入用户名和密码。密码必须与指定密码文件中的密码匹配。

# 2：头文件

在许多情况下，开发商可以包括几个脚本分布在应用到一个脚本，这些脚本将包含一个包括指令集的单个文件到原始页面的代码，包括文件包含敏感信息，包括用户名、密码和数据库访问的关键，该文件的扩展名应该叫php不是典型的公司extension.the.php延伸确保PHP引擎将工艺文件并防止任何未经授权的访问。

3：# MD5和SHA

在某些情况下，用户最终会创建自己的用户名和密码，网站管理员通常会加密形式提交的密码并将它们保存在数据库中。在过去的几年中，开发人员将使用MD5（消息摘要算法）函数加密的128位密码。今天，许多开发者使用SHA-1（安全哈希算法）函数来创建一个160位的字符串。

# 4：自动全局变量

设置包含在php.ini文件中被称为register_globals.the P服务器会自动创建服务器变量和基于register_globals.when安装第三方软件的设置查询字符串中的全局变量，比如内容管理软件，如Joomla，Drupal，安装脚本将引导用户设置register_globals关闭。关闭可以更改设置确保未经授权的用户无法访问数据的猜测变量的名字和验证密码。

# 5：初始化变量和值

许多开发商陷入实例化变量没有分配陷阱，原因可能是受时间约束的分心，或缺乏努力。在认证过程中应变量值的用户登录程序开始之前，这个简单的步骤可以防止用户绕过验证程序或访问一些网站中的领域他们没有权利