拿到一套网站源码后直接改功能，是很多开发者的日常。但二次开发最怕两件事：代码越改越乱、漏洞越补越多。下面从规范和安全的交叉点切入，谈几个实战中真正有效的做法。

一、先读代码，再谈规范

接手一套网站模板或整站程序，不要急着写新功能。先看目录结构和入口文件，确认框架版本、路由规则、数据库抽象层。很多PHP教程忽略这一点，导致开发者用旧版语法去改新版框架，埋下兼容性隐患。

二、变量与输出的安全基线

• 所有用户输入必须经过过滤，php代码中优先使用 filter_input() 而非直接读 $_GET。
• 模板输出统一走转义函数，如 htmlspecialchars($str, ENT_QUOTES, 'UTF-8')。
• 涉及js代码动态渲染时，避免直接拼接 innerHTML，改用 textContent 或前端模板引擎的转义插槽。

这三条听起来基础，但我在审计一套设计素材下载站源码时，发现超过60%的XSS漏洞都源于模板中漏写转义。

三、二次开发中的数据库操作纪律

不要在原表上随意加字段，更不要用 SELECT *。二次开发推荐用迁移脚本管理表结构变更，查询时显式列出字段。预处理语句是底线，php代码里禁止出现拼接SQL的写法。若原程序用了ORM，保持同一套ORM风格，别混入手写SQL。

举个实际案例：某企业站网站源码在二次开发时，开发者为了快速实现搜索，直接拼接了 $_GET['kw'] 到 LIKE 语句，结果被注入拖库。后来改用参数绑定，并加上字段白名单，问题才彻底解决。

规范不是为了好看，而是让安全优化有落脚点。每次改动前先定位影响范围，改完用静态扫描工具跑一遍，比事后补救高效得多。