1、定制安全的PHP环境

　　register_globals：当register_globals=ON时，PHP不知道变量从何而来！也容易出现一些变量覆盖的问题。

　　open_basedir：可以限制php只能操作指定目录下的文件。在对抗文件包含、目录遍历等攻击时十分有用。

　　　　open_basedir=/var/www/html/  注：设定的值必须是一个指定的目录，则需要在目录最后加上一个“/”；

　　allow_url_include：为了对抗远程文件包含，请关闭此选项，一般也用不到此选项；

　　allow_url_fopen：同样建议关闭；值为off

　　display_error：错误回显，一般用于开发模式，但是很多应用在正式环境中也忘记了关闭此选项。回显会暴露出非常多的敏感信息；值为off

　　log_error：把错误信息记录在日志里；值为on

　　magic_quotes_gpc：推荐关闭，它不值得信赖！有若干种方法可以绕过！

　　cgi.fix_pathinfo：若PHP以CGI的方式安装，则需要关闭此项，以避免出现文件解析问题！

　　session.cookie_httponly：开启httponly，值为1时为开启；

　　session.cookie_serure：若是全站HTTPS则请开启此项；

php.ini配置文件