输入永远不可信
所有外部输入经过校验层，不直接拼 SQL / 模板。
PHP Community · 知识
安全清单
可落地的工程约定，每条都给出「为什么」而不只是「怎么做」。清单允许社区成员投票调整优先级。
安全清单
密码用 password_hash
argon2id 优先，勿自研加密。
序列化漏洞
禁止对不可信数据 unserialize，改用 JSON。
PHP Community · 知识
可落地的工程约定，每条都给出「为什么」而不只是「怎么做」。清单允许社区成员投票调整优先级。
输入永远不可信
所有外部输入经过校验层，不直接拼 SQL / 模板。
密码用 password_hash
argon2id 优先，勿自研加密。
序列化漏洞
禁止对不可信数据 unserialize，改用 JSON。