1、不要使用弱口令，要大写+小写+数字+特殊字符，6个字符以上
2、口令不要设置为 自己的名字或生日等
3、非测试或调试状态下，不允许显示phpinfo页面
4、php.ini 安全配置
expose_php = Off #关闭php版本显示 enable_dl = off #不允许调用dl allow_url_include = off #避免远程调用文件包含 upload_tmp_dir = /tmp #明确定义upload目录 open_basedir = ./:/tmp:/home/wwwroot/ #限制用户访问的目录，但会导致访问变慢 register_globals = off #关闭注册全局变量 display_errors = off #关闭php错误日志在前台显示 magic_quotes_gpc = on #过滤外部的GET、POST、COOKIE变量中的单引号（‘）、双引号（"）、反斜杠（\）及空字符（NULL）的前面加上反斜杠（\） magic_quotes_runtime = on #过滤数据库及文件中的单引号（‘）、双引号（"）、反斜杠（\）及空字符（NULL）的前面加上反斜杠（\） safe_mode= on #对于一些文件操作和命令执行函数作功能限制 open_basedir= 目录 #限制php程序可以访问的目录 disable_functions= 函数，函数 #禁止php使用哪些函数
1、不要轻易对一个程序运行 ”以管理员方式运行”
2、尽量不要使用网上的破解或来源不明的软件
3、不要用移动存储设备持久保存公司或个人文件
4、不要访问***、***等非法网站，并在上面填写自己的信息
5、不要在网站内点击广告之类的弹窗
6、要定期清理游览器缓存和历史记录
7、不要在游览器设置密码自动保存
8、不要在网络留下“自己是某公司的职员”之类的信息
9、不要点击不明来源的URL(一般以不明来源的邮件为主)
10、不要在登陆后台时点击某个链接，这个永远是最危险的
11、不要相信10010、10086、110、112 之类的来电或短信(这类短信很少会要求你下载某个app）
12、不要把常用密码设为同一个，最好常备3个
13、如果突然有同事发邮件问你一些公司的秘密，你要和他核实信息，比如打电话，短信等
14、要在登陆点设置验证
15、不要给予上传文件执行权限
16、对于上传文件不要只在客户端做js的简单后缀识别,也要在服务端做控制,并在文件上传后要改变其原文件名
17、对于内部和外部的数据，不仅要验证数据的类型，还要验证其格式、长度、范围和内容
18、要对用户访问、操作目录和session会话做权限控制
19、要对传入数据库的参数做过滤控制
20、对于用户留言等于用户有交互的地方，要对用户输入的字符做过滤
21、隐藏敏感页面，如conn.php等
22、非集群环境下Mysql root账号只允许 localhost和127.0.0.1 访问，禁止外部访问
23、如果是集群环境，要给mysql配置黑白名单
24、对于mysql要做到一个用户管理一个库，不要在程序中直接使用root做SQL语句执行
本文出自 “装系统的程序员” 博客，请务必保留此出处http://qiudays.blog.51cto.com/8910608/1742775
原文：http://qiudays.blog.51cto.com/8910608/1742775