一、SQL 注入

永远使用预处理语句，不拼接 SQL：

$stmt = $pdo->prepare("SELECT * FROM user WHERE id = ?");
$stmt->execute([$id]);

二、XSS

输出到页面前对用户输入做 htmlspecialchars 转义。

三、CSRF

关键表单加随机 token 校验，敏感操作要求二次确认。

一、资源与路由

用名词复数表示资源，HTTP 方法表达动作：

GET    /articles      列表
POST   /articles      新建
GET    /articles/:id  详情

二、鉴权

对外接口用 API Key 或 OAuth2，敏感操作走 HTTPS。

三、调试工具

用 curl 或 Postman 验证请求与响应，统一错误码与 JSON 结构。

一、分支模型

采用 main + develop + feature 分支，功能开发从 feature 切出：

git checkout -b feature/login develop

二、提交规范

提交信息遵循 type(scope): subject，如 fix(auth): 修复登录态丢失。

三、合并与变基

本地未推送的提交用 rebase 整理，已共享的分支用 merge 保留历史。

一、资源加载

合并与压缩 CSS/JS，启用 HTTP/2 多路复用，懒加载首屏外图片。

二、缓存策略

静态资源设长缓存 + 文件指纹，HTML 用 no-cache：

Cache-Control: public, max-age=31536000, immutable

三、关键渲染路径

内联首屏关键 CSS，异步加载非关键脚本，减少白屏时间。

一、Flexbox 一维布局

适合导航栏、卡片行等横向排列：

.nav { display: flex; gap: 16px; align-items: center; }

二、Grid 二维布局

适合整体页面栅格：

.grid { display: grid; grid-template-columns: repeat(3, 1fr); gap: 24px; }

三、响应式

用 minmax() 与 auto-fit 让网格自适应列数，减少媒体查询。

一、反向代理

把请求转发到后端应用：

location / {
    proxy_pass http://127.0.0.1:8080;
    proxy_set_header Host $host;
}

二、HTTPS

用 Let's Encrypt 申请证书后配置：

listen 443 ssl;
ssl_certificate /path/fullchain.pem;
ssl_certificate_key /path/privkey.pem;

三、强制跳转

80 端口统一 301 跳转到 443，避免明文传输。

一、目录结构

模板放在 content/templates/你的别名/，必须包含 header.php、footer.php、log_list.php、echo_log.php、module.php、style.css。

二、头部安全检查

每个 PHP 模板文件开头都要加防直访：

<?php if (!defined('EMLOG_ROOT')) { exit('error!'); } ?>

三、标准函数与钩子

列表用 blog_sort()、文章用 echo_log()，挂载点用 doAction('index_head') 等，严格对齐官方 default 模板。

一、进程与资源

查看负载和内存：

top -c
free -h
df -h

二、日志排查

实时跟踪 Nginx 错误日志：

tail -f /var/log/nginx/error.log

三、定时任务

用 crontab 管理计划任务，crontab -e 编辑，注意时区与 PATH。

一、命名参数（Named Arguments）

调用函数时可按参数名传值，顺序不再重要，可读性大幅提升：

<?php
htmlspecialchars($str, ENT_QUOTES, 'UTF-8');
// PHP 8 可以写成
htmlspecialchars(str: $str, flags: ENT_QUOTES, encoding: 'UTF-8');

二、联合类型与 mixed

参数和返回值现在可以声明多种类型，mixed 表示任意类型：

function demo(int|string $v): mixed { return $v; }

三、升级建议

升级前用 php -l 校验语法，确认 Composer 依赖声明支持 ^8.0，并在预发环境充分回归测试。

一、为什么慢

没有合适索引时，MySQL 只能全表扫描。用 EXPLAIN 查看执行计划，关注 type 与 rows：

EXPLAIN SELECT * FROM orders WHERE user_id = 100 AND status = 1;

二、组合索引最左前缀

建立 (user_id, status) 组合索引，查询必须命中最左列才能生效。

ALTER TABLE orders ADD INDEX idx_user_status (user_id, status);

三、避免索引失效

不要在索引列上做函数运算或隐式类型转换，否则索引失效回退全表扫描。