PHP网站搭建需要注意什么

环境配置基础

组件类型	推荐版本/要求	作用说明
Web服务器	Nginx/Apache（建议Nginx性能更优）	处理HTTP请求与静态资源分发
PHP解析器	PHP≥7.4（兼容最新语法特性）	执行PHP代码逻辑
数据库系统	MySQL/MariaDB/Percona	存储结构化数据（如用户信息、内容）
缓存工具	OpCache+Redis组合	加速脚本编译与高频数据读取
文件监控	Supervisor进程管理	确保服务意外终止时自动重启

⚠️ 注意：不同PHP扩展需针对性安装（如imagick用于图片处理，intl支持国际化），可通过php -m命令验证已加载模块。
（图片来源网络，侵删）

安全加固策略

输入过滤机制

所有表单提交必须经过filter_input()或正则校验

示例防御场景：

// 错误的写法 直接接收原始数据
$userId = $_POST['user_id']; // ❌高危操作！
// 正确做法 严格类型转换+范围限制
$userId = filter_var($_POST['user_id'], FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 1, 'max_range' => 10000]
]);
if (!$userId) die("无效的用户ID");

SQL注入防护

防护层级	实现方式	优势对比
PDO预处理语句	`$stmt = $pdo->prepare("SELECT FROM table WHERE id=?");`	自动参数化绑定，免疫二阶注入
ORM框架	Laravel Eloquent/Doctrine	语义化查询避免手写SQL漏洞
Escaping转义	`addslashes()`配合明确字符集	传统方案但需注意编码一致性问题

文件上传管控

强制实施三重检查：
1. MIMEType白名单（仅允许image/jpeg等可信类型）
2. 文件头魔数验证（使用getimagesize()检测真实图片格式）
3. 重命名策略（替换空格为下划线,删除特殊字符）

存储路径设置示例：

upload_max_filesize = 5M
post_max_size = 6M
file_uploads = On

架构设计规范

MVC分层实践

目录结构	示例	禁止行为
/app/Controllers	UserController.php	不得包含业务逻辑代码
/app/Models	Order.php（含验证规则定义）	避免直接数据库交互
/public	index.php + .htaccess	禁止暴露敏感配置文件
/vendor	Composer依赖库	手动修改第三方代码

路由系统优化

RESTful风格设计原则：
- GET /api/v1/products → 列表查询
- POST /api/v1/products → 新建资源
- PUT /api/v1/products/{id} → 全量更新
- PATCH /api/v1/products/{id} → 局部修改
使用FastRoute替代传统.htaccess实现高性能路由匹配

性能调优要点

OpCache配置参数

opcache.enable=1
opcache.memory_consumption=128          ; 根据内存容量调整(MB)
opcache.interned_strings_buffer=8       ; 减少字符串重复存储开销
opcache.validate_timestamps=0           ; 生产环境关闭缓存验证
opcache.revalidate_freq=0               ; 完全信任本地代码变更频率

数据库慢查询优化

执行计划分析工具：EXPLAIN查看索引使用情况
典型瓶颈解决方案：
- 为WHERE子句中的字段建立复合索引
- 分表策略：按时间维度拆分订单表（如orders_2023）
- 归档历史数据至冷存储（OSS对象存储）

运维监控体系

监控指标	推荐工具	阈值建议
CPU使用率	htop/Prometheus	>80%持续5分钟告警
内存占用	pmap + sort	RSS超过物理内存70%预警
请求响应时间	New Relic/Datadog	P99超过2秒立即排查
错误日志频次	ELK Stack	每分钟错误数>10触发复盘

常见问题与解答

Q1: PHP网站突然变慢怎么办？
A: 优先检查慢查询日志（MySQL的slow_query_log），使用mysqldumpslow定位耗时操作；同时通过XDebug剖绘函数调用耗时，重点优化循环嵌套和N+1查询问题,可临时启用OpCache的预加载功能缓解症状。

Q2: 如何防止跨站脚本攻击(XSS)?
A: 采用三层防御体系：①输出时自动转义（开启Twig模板引擎的自动escaping）；②对富文本编辑器内容使用DOMPurify进行净化；③设置CSP响应头限制外部资源加载：Content-Security-Policy: default-src 'self'; script-src 'unsafe-inline'