网站源码的安全隐患往往藏在细节里。万图素材技术团队在近期审计的200余套网站模板中，发现超过六成存在至少一个中高危漏洞，其中PHP代码注入与js代码跨站脚本占比最高。以下是实战排查与修复思路。

一、PHP代码层高频漏洞排查

文件包含与SQL注入仍是重灾区。重点检查$_GET、$_POST参数是否直接拼接进SQL语句，以及include路径是否未做白名单校验。

• SQL注入：使用PDO预处理替代mysql_query拼接，例如$stmt->bindParam(':id', $id, PDO::PARAM_INT)。
• 文件上传：校验MIME类型与后缀白名单，禁止.php、.phtml等可执行后缀。
• 会话固定：登录后立即session_regenerate_id(true)。

二、js代码与前端资源风险

很多站长从设计素材站下载的js特效插件，暗藏远程加载恶意脚本。排查时查看是否有eval()、document.write()动态写入，以及第三方CDN是否启用SRI校验。建议对网站模板中的js代码做本地化并压缩混淆，减少暴露路径。

三、真实修复案例

某企业站使用开源CMS，攻击者通过构造?file=../../etc/passwd读取系统文件。修复方案：将文件包含参数映射为整型ID数组，并关闭allow_url_include。配合PHP教程中推荐的open_basedir限制目录，漏洞立即失效。

日常维护中，建议每月用RIPS或Seay工具扫描一次网站源码，并关注PHP官方安全公告。万图素材的PHP教程栏目持续更新修复补丁与加固清单，可配合本站网站模板一起使用，从源头降低风险。