開發一個簡單的PHP架構，有哪些安全問題需要注意？

自認為，做一個最簡單的PHP mvc架構，用URL路由函數匹配URL中的controller和method的名字，如果method_exists則new該controller再用call_user_func_array執行該method，否則引入error的controller，每個controller中可以require引入model，再require引入tpl，這是我做一個最簡單的PHP架構的思路，那這裡面需要注意哪些安全問題呢？

回複內容：

自認為，做一個最簡單的PHP mvc架構，用URL路由函數匹配URL中的controller和method的名字，如果method_exists則new該controller再用call_user_func_array執行該method，否則引入error的controller，每個controller中可以require引入model，再require引入tpl，這是我做一個最簡單的PHP架構的思路，那這裡面需要注意哪些安全問題呢？

• 路徑問題，不能通過url調用應用外部檔案比如/etc/passwd

• 資料過濾，永遠不要信任使用者的任何輸入。輸入的所有資料使用htmlspecialchars過濾後入庫。

• 資料庫，使用PDO代替mysql_xxxx，使用參數綁定處理外部資料（如果資料庫只使用mysql也可使用mysqli擴充)

關於 call_user_func_array 的安全問題，之前drupal中過招。

http://blog.knownsec.com/2014/10/drupal__callback_nightmare/

require 可能產生檔案包含漏洞。

http://www.neatstudio.com/show-1123-1.shtml

