常见的未知PHP安全隐患

我知道这样的问题已被问过一百次,但我的情况有点不同.

我知道所有常见和广为人知的安全问题,如SQL注入,XSS等.但是,经常出现但大多数时候都没有被认可或者没有被认为是漏洞的问题呢？有吗？

有一件事我已经看到很多东西被开发成一个功能而不被视为安全漏洞,直到它为时已晚是改变状态的GET请求.这些很容易导致跨站点请求伪造.例如,您的应用程序可能有一个指向http://mysite.com/logout的链接,该链接会将用户注销.但第三方网站可以添加如下代码:

然后,当用户在evil.com上加载页面时,他们将退出mysite.com!

当站点使用状态更改GET请求实现API时,会出现最严重的问题.例如,如果我使用诸如site.com/addfriend,site.com/sendmessage等网址运行社交网站,并且我将这些网址发送给将要为我的网站制作应用程序的开发人员,那么开发人员必须在发现安全漏洞时处理API更改.

使用$_REQUEST而不是$_GET或者$_POST,这也是一个坏主意,因为$_REQUEST它还包含cookie,它为Variable Fixation打开了大门

不是特定于PHP的,适用于所有解释语言:.svn/.CVS目录的可见性