[TOC] ## 信息泄漏 ~~~ bool phpinfo ([ int $what= INFO_ ALL ]) ~~~ 输出 PHP 当前状态的大量信息,包含了 PHP 编译选项、启用的扩展、PHP 版本、服务器信息和环境变量(如果编译为 一个模块的话)、PHP 环境变量、操作系统版本信息、path 变量、配置选项的本地值和主值、HTTP头和 PHP 授权信息 ( License) ## 配置相关 ~~~ string ini_get( string $varname) ：成功时返回配置选项的值。 string ini_set( string $varname, string $newvalue) string ini_alter( string $varname, string $newvalue) 设置指定配置选项的值。这个选项会在脚本运行时保持新的值,并在脚本结束时恢复 void ini_restore( string $varname) ：恢复指定的配置选项到它的原始值 ~~~ ## 数字判断 ~~~ bool is_numeric( mixed $var) ~~~ 如果 var 是数字和数字字符串则返回 TRUE,否则返回 FALSE。 仅用 is_numeric 判断而不用 intval 转换就有可能插入 16 进制的字符串到数据库,进 而可能导致 sq|二次注入。 ## 数组相关 ~~~ bool in_array( mixed $needle, array $haystack [,bool $strict= FALSE ]) ~~~ 在 haystack 中搜索 needle,如果没有设置 strict 则使用宽松的比较。 该函数有一个特性,比较之前会进行自动类型转换。