PHP项目上线前别光测功能，这五个安全配置不做，分分钟被人拖库挂马

新手写PHP项目，光顾着功能跑通，根本不做基础安全配置，网站上线没多久就被人传木马、拖数据库，我自己踩过好几次安全的坑，总结了PHP项目上线前必须做的几个安全配置，照着做能挡住大部分常见攻击。第一，数据库账号别用root，给每个项目单独建数据库账号，只给对应库的读写权限，就算被注入，攻击者也碰不到其他项目的数据；第二，配置文件里的数据库密码、API密钥，别明文传到Git仓库，把配置文件加进.gitignore，敏感信息存在服务器环境变量里，不然爬虫扫公开仓库，分分钟扒走你的数据库密码；第三，上传接口必须做后缀白名单，只允许jpg、png这类图片后缀，上传目录关掉PHP执行权限，别让用户传个php木马就能在服务器上跑；第四，所有数据库查询用PDO预编译，别直接把用户输入拼进SQL，不然一个SQL注入漏洞，整个库的数据全被拖走；第五，登录接口加失败次数限制，输错5次就锁15分钟，挡住字典暴力破解。

很多新手觉得自己的小站没人会攻，结果黑产的爬虫24小时在扫这些漏洞，你一个没做校验的上传接口，一个拼字符串的SQL，直接就能被人拿服务器权限。别等网站被人挂了赌博暗链、被拖了数据库才想起做安全配置，上线前把这几个基础点做完，成本很低，但是能挡住90%的常见攻击，比你事后删木马、恢复数据省太多事。