PHP项目上线别光测功能，这五个安全配置不做，分分钟被人拖库挂马

新手写PHP项目，功能跑通就上线，根本不做安全配置，上线没多久就被传木马、拖数据库，其实几个基础配置做完，就能挡住90%的常见攻击。第一，数据库账号别用root，给每个项目单独建账号，只给对应库的读写权限，就算被注入，攻击者也碰不到其他项目的数据；第二，所有数据库查询用PDO预编译，别直接把用户输入拼进SQL，一个SQL注入漏洞，整个库的数据全被拖走；第三，上传接口做后缀白名单，只允许jpg、png这类图片后缀，上传目录关掉PHP执行权限，用户传个php木马，访问目录的php文件也不会被解析执行，木马等于废了；第四，登录接口加失败次数限制，连续输错5次锁15分钟，挡住字典暴力破解；第五，敏感配置别明文传到Git，密码存在环境变量里，配置文件加进.gitignore。

我之前踩过SQL注入的坑，直接拼用户输入，被人拖了整个用户表，之后所有查询全用预编译。很多新手觉得小站没人会攻，黑产的爬虫24小时扫这些漏洞，你不做校验，一个小接口就被人拿服务器权限。这些安全配置都是几行代码的事，成本特别低，但是不做，哪天网站被挂广告、数据丢了，再补就晚了。