Nginx+PHP 配置漏洞
这个漏洞严格上说并不是 Nginx 和 PHP 本身的漏洞造成的，而是由配置造成的。在我之前写的许多配置中，都普遍存在这个漏洞。
简易检测方法：
打开 Nginx + PHP 服务器上的任意一张图片，如：
http://blog.lrenwang.com/test.png
如果在图片链接后加一串 /xxx.php （xxx为任意字符）后，如：
http://blog.lrenwang.com/test.png/xxx.php
图片还能访问并且输出的 Content-Type 为 text/html 的话，说明你的配置存在漏洞。
分析原因
Nginx 传给 PHP 的值为 /var/www/lrenwang/test.png/xxx.php，即 $_SERVER 中 ORIG_SCRIPT_FILENAME 的值，但是 $_SERVER 中 SCRIPT_FILENAME 却是 /var/www/test/test.png。
原因是，/var/www/lrenwang/test.png/xxx.php 并不存在，对于这些不存在的路径，PHP 会检查路径中存在的文件，并将多余的部分当作 PATH_INFO。
这里，/var/www/lrenwang/test.png 被 PHP 解析为 SCRIPT_FILENAME，/xxx.php 被 PHP 解析为 PATH_INFO 后被丢弃，因此并没有在 $_SERVER 中出现。
解决方法：
解决这个漏洞的方法很显然：关闭上面所述的解析即可。
这个解析可以在 PHP 的配置文件中设置，默认为开启。在这里我们需要将它关闭：
;cgi.fix_pathinfo=1
cgi.fix_pathinfo=0
其中 cgi.fix_pathinfo=0 为新增的配置行，表示关闭 PHP 的自动 PATH_INFO 检测。关闭后，该配置漏洞即可消除。
更好的解决方案？
以上方案并不是最完美的，如果你先前有用到 cgi.fix_pathinfo 这个特性，影响会很大，比如关闭后，Wordpress文章的 URL 目录形式就得用 rewrite 来实现了。
如果可以将 PHP 设置成只解析 .php 为扩展名的文件，那么这个问题解决起来会更合理。
不过我没找到相关的设置项，或许今后应该出现在 php-fpm 的配置文件中？
总结：
这类问题基本上是无法预料的，但是如果架构设计良好的话，即使存在这个问题，也不会影响安全性。这里给出架构上的安全建议：
* 尽可能使动静内容分离，所有的静态内容存在于静态内容服务器，静态内容服务器上不解析PHP，这样静态文件就永远不能被解析了。
相关文档：
php的配置函数就是几个ini_*的函数，主要是针对配置文件的操作，其实就四个函数：ini_get、ini_set、ini_get_all、ini_restore。个人感觉最有用的就是ini_set和ini_get。
* ini_get()：获取配置文件的选项值
这个函数相信很多人都使过，就是获取配置文件中某一个选项的值，如果是全影人才网true值就返回1，如果是false值� ......
php是一门简单而又强大的语言，所有的php书籍都会这样说（谁让我最爱看前言呢）。如果将.net、jsp比作刀剑，那么php就是斧头。学会程咬金的三板斧，虽不能天下无敌，却可以安身立命。
今天咱们学习第一板斧，网站交互的基础：请求和会话。
PHP中客户端与服务器信息的传递是依靠请求应答和会话保持实现的，而PHP对于 ......
1.使用ip2long() 和long2ip()函数来把IP地址转化成整型存储到数据库里。
这种方法把存储空间降到了接近四分之一(char(15)的15个字节对整形的4个字节)，计算一个特定的地址是不是在一个区段内页更简单了，而且加快了搜索和排序的速度(虽然有时仅仅是快了一点)。
2.在验证Email地址的时候使用checkdnsrr() 函数验证 ......
先说通过javascript发送时的乱码问题，如果发送的是中文，就要用escape这个函数处理，比如：
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
var url="testurl.php?name="+"刚刚";
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
那么就要改成
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
var url="testurl. ......
有一个开源项目提供将PHP代码转换成Scala代码的功能，该项目的网站是 http://code.google.com/p/php-to-scala-migration-helper/。
In short, php-to-scala converts PHP code to clean, maintainable Scala source code. To cut to the chase, see ConversionExamples, or the feature-by-feature DesignD ......
