XSS攻击不像其他攻击，这种攻击在客户端进行，最基本的XSS工具就是防止一段javascript脚本在用户待提交的表单页面，将用户提交的数据和cookie偷取过来。
创新互联建站-专业网站定制、快速模板网站建设、高性价比浔阳网站开发、企业建站全套包干低至880元,成熟完善的模板库,直接使用。一站式浔阳网站制作公司更省心,省钱,快速模板网站建设找我们，业务覆盖浔阳地区。费用合理售后完善，十余年实体公司更值得信赖。
sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。
php.ini --- display_errors 选项，应该设为 display_errors = off。这样 php 脚本出错之后，不会在 web 页面输出错误，以免让攻击者分析出有作的信息。
(9) 打开magic_quotes_gpc来防止SQL注入SQL注入是非常危险的问题，小则网站后台被入侵，重则整个服务器沦陷，所以一定要小心。
地址栏禁止特殊字符防SQL注入 把特殊字符（如and、or、、）都禁止提交就可以防止注入了。
最有效的方法是使用参数化查询就能避免sql注入了，防止跨站的话可以使用微软白名单。或者关键字黑名单。
1、可以把备份文件放到站点外的目录，专门写一个下载文件的程序。备份文件名用md5（或者无规律）命名，增加破解难度。增加目录禁止访问操作，专门写一个下载文件的程序。
2、你在浏览器里查看网页源码看看。服务器并不是把那个php文件发给客户端的。至于你说的php文件下载后安全问题，你只要别把所有内容（连接数据库的、执行数据统计的、各种类、等等）放到一个php文件里，一般不会出问题。
3、然后你在www 的文件夹下 创建PHP文件。 用require_once(.. /config.php) 把这个文件包函进来行了。 这样做最安全。 因为Config 文件根本就不在网站目录里面 是无法下载的。 也打不开。
4、如果弹出了迅雷，请先关闭，对着“如果 3 秒后下载仍未开始，请点击此链接” 点鼠标另存为 若有多个压缩附件的文件 一定要下载完所有附件， 再进行解压如果按照上面做法，下载的东西后缀依然是php或htm，请更换一个浏览器。
5、您是通过 ASP“Response.CacheControl”属性还是通过返回的 HTTP 标题来使用 Cache-Control 标题？这是能够真正防止在 Internet Explorer 中进行缓存的唯一方法。
使用php安全模式 服务器要做好管理，账号权限是否合理。
开发环境和生产环境隔开，不要再生产上面开debug、及时更新使用框架漏洞补丁如PHP国内常用 tp系列以前偶尔爆出漏洞（我用的较多就是tp5 ...），还有框架不要用最新要选择最稳定的。
其实原则就那么几个，主要就是不要相信任何来自客户端的信息，什么信息都一样，都是不可信得，使用这些信息前都要经过过滤和验证。其次就是当你要打开本站文件时，最好先判断该文件是否存在。
防跨站、防跨目录安全设置方法 第1步：登录到linux系统终端。第2步：找到并打开php配置文件。第3步：在php.ini最底部添加以下代码，并保存。大家可就按以下代码改成自己网站的配置即可。