хотелось бы чтобы здешние виртуозы PHP написали распространенные дыры, и исправленные варианты.

Некий такой справочник, чтоли, чтоб новички (к которым я себя и причисляю) могли научиться писать без явных дыр.

p.s без sql иньекций и прочего, так как это подробно описано везде.

http://www.phpfaq.ru/all#safety
http://php.su/security/
http://forum.vingrad.ru/forum/topic-38887/unread-1.html
http://en.wikipedia.org/wiki/Session_fixation

Чтобы писать без дыр, надо всегда проверять то что приходит от пользователя. во вторых, 


Это не правильно. Надо проверить а открылся ли фаил. Например так:

Не нужно ничего такого читать.

Только документацию по используемым методам.
И знать, что КОНКРЕТНО происходит при любом твоем действии.

На примере SQL-inj: они происходят, когда человек, используя потенциально уязвимую библиотеку для запросов пренебрегает правилами ее использования.
Решение: либо использовать так, как написано в мануале, либо выбрать библиотеку, которая не позволит сделать SQL-inj(мэппинг до объектов, например).

Ну на мой взгляд дыра только одна. Доверие переданым от пользователя данным. 
Всё остальное не дыры, а невнимательность и непонимание происходящего.

а наличие собаки - это правильно?

bars80080, да ладно тебе ) Это всего лишь намордник что бы пхп не гавкал   
А вообще да конечно. Муветон он и в африке муветон

bars80080, Вы эту надпись не считаете дырой в безопасности????
Наличие собаки плохо на этапе разработки.  
При отсутствии на этапе работы - это дыра в безопасности...
Если конечно в начале скрипта не стоят строки:

А в .htaccess


Это сообщение отредактировал(а) unicross - 28.2.2009, 19:14

errorlog обычно кладут за пределами document_root.
корректная конфигурация production-сервера не будет выводить ошибки клиенту.
нет, не-скрытие ошибок не "дыра". "дырявой" в данной ситуации может быть конфигурация php.

для локальных файлов, вообще-то предусмотрена такая функция, как file_exists(). она и на директории распространяется

А при этапе работы display_errors всегда должен быть off.

bars80080, я от вас ждал более мудрого ответа. Такого же мудрого как дали skyboy и gta4kv. А знаю... Вы не захотели повторяться...  

Применение функции file_exists() при модификаторе "w" в fopen() лишено смысла, а при "r" могут возникнуть ошибки и при существовании файла, например, нет прав доступа или файл блокирует другая программа длительное время... Что касается примера pizzz, то применение собаки может быть оправдано, так как в блоке else мы и так знаем, что произошла ошибка и можем ее обработать. Нет смысла выводить ошибку в errorlog, а тем более в браузер. В остальных случаях я против собаки... Я за display_errors=Off при работе...



В том, то и проблема что конфигурация не всегда настроена правильно. Вывод ошибок в браузер вижу почти на каждом третьем сайте.
Как говорится "На других надейся, а сам не плошай"!


Да согласен, но если в скрипте есть конструкция include($_GET['file']), то это не поможет...  

А если нет прав записи в директорию



is_writable есть и is_readable на такие случаи

С какой версии PHP функция file_exists() начала проверять права доступа?

и это объясняет закрытие собакой функцию? а остальные функции?
может всё-таки разом отключать все ошибки на показ?