php怎么插入单引号，PHP编程如何去做防注入？
PHP作为当下主流的脚本语言，在各大互联网公司都能看到它的身影。很多人评价PHP是安全高效的Web编程语言，其实我要说的是，PHP的安全性并不高！如果在项目开发时不去做必要的安全优化，那项目上线后很容易被注入攻击。那该如何避免呢？
对用户提交的数据务必做过滤及转义处理对于Web开发而言，我们务必要清楚的知道，用户提交过来的数据是不能保证是否合法的，所以需要对用户提交的数据做一些过滤（过滤掉敏感词，如：select 、' 这类SQL构造词汇），同时用户提交的数据中可能会带一些恶意的JS或CSS代码，同样需要做转义处理，防止在前端渲染页面时执行这些JS或CSS。
代码中严禁采用SQL拼接的方式构造SQL语句很多初级PHPer在写SQL时喜欢采用字符串拼接的方式来构造SQL，殊不知这样会导致SQL注入，严谨作法应该是使用SQL预编译（参数绑定）的方式来传递参数，防止通过构造字符串的方式来进行SQL注入。
PHP配置文件安全配置PHP配置文件中有许多关于安全方面的配置，比如说：magic_quotes_gpc ，这个配置开启后会分析用户提交的数据（POST、GET、Cookie），如果这些数据中含有特殊字符（如：单引号、双引号、反斜线等）则会进行自动转义。
如果没有开启这个配置，那我们对于用户提交过来的POST、GET、Cookie数据需要手动调用addslashes函数来转义。
以上就是我的观点，对于这个问题大家是怎么看待的呢？欢迎在下方评论区交流 ~ 我是科技领域创作者，十年互联网从业经验，欢迎关注我了解更多科技知识！为什么参数化SQL查询可以防止SQL注入？
sql注入就是指我们在URL中传递变量testid，并且提供值为23，由于它是对数据库进行动态查询的请求（其中?testid＝23表示数据库查询变量），所以我们可以在URL中嵌入恶意SQL语句。
首先我们定义一个存储过程根据jobId来查找jobs表中的数据
接着修改我们的Web程序使用参数化的存储过程进行数据查询。
现在我们通过参数化存储过程进行数据库查询，这里我们把之前添加的正则表达式校验注释掉。大家看到当我们试图在URL中嵌入恶意的SQL语句时，参数化存储过程已经帮我们校验出传递给数据库的变量不是整形。
PHP如何将多维数组有效转成JSON？
引言
虚头巴脑的大道理就不讲了，直接上代码。
我们说一下把PHP嵌套的数组，转换为JSON字符串，提供给JS前端用。
基本面使用json_encode函数将PHP数组传递给JSON字符串和JavaScript数组。在本文，我们使用多维数组进行演示。一个数组是数字索引的，另外两个是混合数字和字典关联的。
无论PHP数组是单级的还是多级的，或者是数字索引的还是关联索引的，下面的代码放在一个JavaScript段中，将会输出到JavaScript:
你可能希望使用JavaScript的JSON。解析来处理PHP的json_encode的结果，在这种情况下，使用以下代码:
对于下面的示例数组，首先用PHP显示该数组，然后包括用于输出它的json_encode的JavaScript段，然后显示输出。最后展示在JavaScript中用于访问结果数组元素或对象属性的语法。
示例数组1默认情况下，json_encode将数字索引的PHP数组输出为JavaScript中的数组文本。关联的PHP数组作为对象文本输出。
示例数组2在json_encode输出中，外层是数组文字，而第二层形成对象文字。下面的代码注释演示了如何使用JSON_PRETTY_PRINT选项和json_encode实现更可读的输出：
更复杂的数组结构这个例子演示了如何使用JSON。解析json_encode的输出。PHP标记为此用单引号括起来。
访问方式可以是索引键，可以是数字。
我们不能在JSON.parse中使用JSON_PRETTY_PRINT，因为那会导致JavaScript错误:未终止的字符串文字。
写在最后本文通过深度对比PHP的数组，与JS的JSON对象之间的数值转换，可以较为清晰地掌握关键点，而不至于频频踩坑。
Happy coding :)
我是@程序员小助手，持续分享编程知识，欢迎关注。Python有哪些欠吐槽的地方？
Neal Krawetz有一群 geek 朋友，经常一起讨论技术话题，有时候也会谈到编程语言。「I hate Python」，作者表示。他对 Python 厌恶至极。即使有现成的 Python 代码可用，他也宁愿用 C 语言重写。为了系统地吐槽 Python，作者专门写了这篇博客，细数 Python 的「八宗罪」。
这个话题已经在 Hacker News 上引发了热烈的讨论（评论 400+），感兴趣的读者可以去围观或参与一下。
Hacker News 讨论：https://news.ycombinator.com/item?id=18706174
1. 版本
如果要安装一个默认的 Linux 操作系统，那你很有可能需要安装多个版本的 Python：Python2、Python3 甚至是 3.5、3.7。原因在于：Python3 无法与 Python2 完全兼容。甚至一些用小数表示的版本（如 3.5、3.7）也明显缺乏向后的兼容性。
我完全赞成往编程语言中添加新的功能，我甚至不介意淘汰一些旧的版本。但 Python 却要分开安装。我的 Python 3.5 代码不适用于 Python 3.7 安装版本，除非我特意将其导入 3.7。很多 Linux 开发者都觉得导出太麻烦，因此安装 Ubuntu 的时候会一并安装 Python2 和 Python3——因为有的核心功能需要前者，而有的需要后者。
向后兼容性的缺乏和各自为政的版本通常会为其敲响丧钟。Commodore 创造了第一批家用电脑（比 IBM PC 和苹果都要早很多）。但 Commodore PET 不能与后续的 Commodore CBM 兼容。CBM 又不与 VIC-20、Commodore-64、Amiga 等兼容。因此，你要么选择花很多时间将代码从一个平台导到另一个，要么选择放弃这个平台。（Commodore 今天何在？早被用户抛弃凉凉了……）
类似地，Perl 也火过一阵。但 Perl3 与 Perl2 的很多代码也不兼容。社区骂声一片，于是一些好的代码导了出来，其他的则被抛弃了。Perl4 也是如此。等 Perl5 出来的时候，人们干脆改用另一种更稳定的编程语言。如今，只有一小部分人还在频繁使用 Perl 来维持之前的项目。但已经没有人用 Perl 创建新的大项目了。
同理，Python 的每个版本也都存在谷仓效应。之前的版本还要留着，最终造成手里有一堆旧的无用 Python 代码，因为大家都不想花时间将其移到最新版上。据我所知，没有人为 Python2 创建新代码了，但我们还留着它，因为没有人想将所需代码移到 Python3.x 中。Python 2.7、3.5、3.6、3.7 的文档都还在 Python 官网上积极维护着，因为他们无法下决心弃用之前的代码。Python 就像一种僵尸编程语言——已经死掉的部分还在以行尸走肉的方式存在着。
2. 安装
很多软件包都可以帮你轻松地运行 apt、yum、rpm 或其他一些安装库，并获得最新版本的代码。但 Python 并非如此。如果用「apt-get install python」安装，你都不知道自己安的是哪个版本，它可能也无法与你所需的所有代码兼容。
因此，你要安装你需要的那版 Python。我的其中一个项目用到 Python，但必须用 Python3.5。所以最后，我的电脑安装了 Python2、Python2.6、Python3 及 Python3.5。其中两个来自操作系统，一个用于项目，另外一个服务于出于其他原因安装的无关软件。虽然都是 Python，但此 Python 非彼 Python。
如果你想安装 Python 包，你应该使用「pip」（Pip Installs Packages）。但由于系统上有一堆 Python，你要注意使用正确版本的 pip。否则，「pip」可能运行「pip2」，而不是你需要的「pip3.7」。（如果名称不存在，你需要为 pip3.7 指定明确的真实路径）
一位队友建议我配置自己的环境，这样的话每种软件都可以使用 Python3.5 的 base 环境。在我需要用 Python3.6 开展另一个项目之前，这种做法是非常行得通的，但是需要 Python 3.6 就得创建另外一个环境。两个项目，两版 Python，一点都不会混，真的（用生命在假笑）。
pip 安装程序将文件放置在用户的本地目录。安装系统级的库时不用 pip。Gawd 不允许你在运行「sudo pip」时出错，因为那会毁了你的整个电脑！运行 sudo 可能会使一些软件包在系统级别安装，有些是为错误版本的 Python 安装的，而你的主目录中的一些文件可能最终归 root 所有，因此未来的非 sudo pip 安装可能会因权限问题而失败。不要这样做。
这些 pip 模块由谁来维护呢？当然是社区。也就是说，没有明确的所有者，也没有强制性的来源链或责任链。今年早些时候，PyPI 的一个版本中发现了一个窃取 SSH 凭证的后门。这也是意料之中。（出于同样的原因，我不用 Node.js 和 npm；我不信任他们的社区项目。）
3. 句法
我非常主张代码的可读性要强。乍一看，Python 的可读性似乎不错。但当你开始创建大型代码库的时候你就不会这么想了。
大多数编程语言使用某种符号来标识范围——函数的开始和结束位置、条件语句中包含的操作、变量的定义范围等。C 语言、Java、JavaScript、Perl 和 PHP 都用 {...} 来定义范围，Lisp 使用 (...)。Python 呢？它用空格！如果你要定义复杂代码的范围，你可以缩进接下来的几行代码，缩进结束时，该范围也截止。
Python 手册说，你可以用任意数量的空格或制表符来定义范围。但是，每次缩进最好使用四个空格！如果你想缩进两次进行嵌套，使用八个空格！Python 社区已经对此进行标准化，即使 Python 手册中并没有明文规定。这个社区就喜欢用四个空格。所以，除非你不打算将自己的代码向任何人展示，否则的话每次缩进最好用四个空格。
我第一次看到 Python 代码时，觉得用缩进来定义范围还挺好的，但这么做有一个巨大的缺陷。你可以进行深度嵌套，但这么做使得每一行都会很长，导致不得不在文本编辑器中换行。较长的函数和条件语句可能会使开始和结束范围很难匹配。而且当你不小心把三个空格当成四个空格，还容易出现计算错误，进而花几个小时来调试和追踪。
对于其它语言，我已经养成了调试代码不带任何缩进的习惯。这样，我可以快速浏览代码，然后轻松地识别和删除调试代码。但 Python 呢？任何没有适当缩进的代码都会产生缩进错误。
4. includes
大部分编程语言都有办法导入其它代码块。比如，C 语言用「#include」，PHP 语言可以用「include、include_once、require、require」。而 Python 用的是「import」。
Python 可以导入整个模块、模块的一部分或模块中的特定函数。C 语言？你可以查看「/usr/include/」。Python 的话，最好用「python -v」列出所有路径，然后从列表中搜索每个目录和子目录中的每个文件。我有些朋友很喜欢 Python，但我看到他们想导入东西时，总得浏览标准模块。
导入功能还允许用户重命名导入的代码。它们基本上定义了一个自定义的命名空间。乍一看，你会觉得挺不错的，但这最终会影响可读性和长期支持。重命名对于较小的脚本来说还是不错的，但对于长期项目来说真的不适用。那些使用 1-2 个字母作为命名空间（比如「import numpy as n」），而且还不按约定俗成的方式来命名的，简直应该拉出去枪毙！
这还不是最糟糕的。大部分编程语言 include 代码的时候就只是导入代码而已。如果有一个带有构造函数的全局对象，有些语言，如面向对象的 C++可能会执行代码。类似地，有些 PHP 代码可能会定义全局变量，所以导入可以运行代码——但这种做法通常被认为很糟糕。相比之下，很多 Python 模块包含在导入期间运行的初始化函数。你不知道在运行的是什么，它要干什么，你甚至可能不会注意到。除非存在命名空间冲突，如果这样就好玩了，你得花很多时间来寻找原因。
5. 命名法
在其它语言中，数组（array）直接称之为'arrays'，但是在 Python 中，它们被称为 'lists'。关联数组在某些地方被称为 'hash' (Perl)，但是 Python 将其称为「字典」（dictionary）。Python 似乎完全按照自己的节奏来，不使用计算机科学和信息科学领域的常见术语。
此外，Python 库的命名也有问题。PyPy、PyPi、NumPy、SciPy、SymPy、PyGtk、Pyglet、PyGame……（前两个库的发音一样，但是它们的功能完全不同）。我理解「py」表示 Python，但是它们就不能统一出现在前面或后面吗？
一些常见库放弃了类似双关语的「Py」命名约定，包括 matplotlib、nose、Pillow和 SQLAlchemy。虽然有一些命名可能暗示其目的（如 SQLAlchemy 包含 SQL，所以它可能是一个 SQL 接口），但是其它的可能只是随机的单词。如果你不知道「BeautifulSoup」这个库是干什么的，那么你能从命名看出来它是一个 HTML/XML 解析器吗？不过，BeautifulSoup 有很完善的文档且易于使用，如果每一个 Python 模块都这样，我也就不抱怨了，但是大多数 Python 库的文档非常烂。
总的来说，我认为 Python 是一个具有不一致命名约定的函数库集合。我经常抱怨开源项目的命名非常可怕。除非你知道这些项目在干什么，否则你从命名本身中什么都看不出来。除非你知道在寻找什么样的库，不然只能通过别人偶然提及的名字或偶然的机会发现一些库。大多数 Python 库加重了这种现象，也加重了 Python 的负面体验。
6. 奇怪的操作
每种语言都有自己比较奇特的操作。C 语言中使用 & 和 * 获取地址空间和值的命名法非常奇怪。C 语言中还有用 ++ 和—实现 increment/decrement 的捷径。Bash 语言中，在引用特定字符（如用于正则表达式的圆括号和句号）时需要一直考虑「什么时候使用转义符 (\)」。JavaScript 兼容性有问题（并非每个浏览器都支持所有有用的功能）。但 Python 的奇怪操作比我见过的其他语言都多。如：
在 C 语言中，双引号里的是字符串，单引号里的是字符。
在 PHP 和 Bash 中，两种引号都能包含字符串。但是，双引号里的字符串可以嵌入变量。相比之下，单引号的字符串是文字；任何嵌入的类似变量的名称都不可扩展。
在 JavaScript 中，单引号和双引号没什么区别。
在 Python 中，单引号和双引号也没有什么区别。但是，如果你想让字符串跨行，就得用三重引号，如"""string""" 或 '''string'''。如果你想用二进制，那你需要优先选择带有 b（b'binary'）或 r（r'raw'）的字符串。有时你要用 str(string) 把字符串转换为字符串，或使用 string.encode('utf-8') 将其转换为 utf8 格式。
如果你一开始认为 PHP 和 JavaScript 中的=、==、===有点奇怪，那等你用 Python 中的引号时可能不会这么想了。
7. 通过对象 Reference 传递
大多数编程语言的函数参数传递是传值。如果函数改变了值，结果不会传递回调用代码。但正如我解释过的，Python 偏偏要有所不同。Python 默认使用 pass-by-object-reference 来传递函数参数。这意味着改变源变量可能最终会改变值。
这是面向程序、函数和对象的编程语言之间的最大区别。如果每个变量都由对象引用来传递，并且变量的任何变化都会改变所有的引用，那你可能使用的都是全局对象。通过不同的命名调用相同的对象不会改变对象，所以实际上它就是全局的。此外，正如 C 的程序员早就学到的，全局变量太恶心了，别用。
在 Python 中，你必须通过值来传递变量，例如「a=b」只是给相同的对象空间分配了另一个命名，但并没有复制 b 的值给 a。如果你真的想要复制 b 的值，你需要使用一个 copy 函数，通常是「a=b.copy()"的形式。然而，注意我说的是「通常」。不是所有数据类型都有一个「copy」原型，或者 copy 函数可能是不完整的。在这种情况下，你可以使用单独的「copy」库："a=copy.deepcopy(b)"。
8. 本地命名
用所用的库或函数的名字来命名程序是常见的编程技巧。例如，如果我用一个叫做「libscreencapture.so」的 C 库来测试一个截屏程序，我会将该程序命名为「screencapture.c」并编译为「screencapture.exe」。
gcc -o screencapture.exe screencapture.c -lscreencapture
在 C、Java、JavaScript、Perl、PHP 等语言中，这通常很有效，因为这些语言可以轻易地辨别本地程序和资源库，它们有不同的路径。但 Python 呢？还是算了吧，千万别这样做。为什么？Python 会假定你首先要导入本地代码。如果我有一个名为「screencapture.py」的程序使用了「import screencapture」，那么它将导入自己而不是系统库。至少，你应该调用本地程序「myscreencapture.py」吧。
并非一无是处
Python 是一门非常流行的编程语言，有很多粉丝。甚至我的很多朋友都很喜欢 Python。多年来，我和他们讨论过这些问题，每次他们都点头表示同意。他们并不反对 Python 存在这些问题，只是认为这不足以浇灭他们对这种语言的热情。
我的朋友经常提到那些非常酷的 Python 库。我同意一些库非常有用。例如，BeautifulSoup 是我用过最好的 HTML 解析器之一，NumPy 使多维数组和复杂的数学更容易实现，而 TensorFlow 对于机器学习非常有用。但是，我不会因为喜欢 TensorFlow 或 SciPy 而用 Python 创建单片程序。我不打算为了这些「蝇头小利」而放弃可读性和可维护性，这不值得。
通常当我写一篇关于某个主题的批评时，我也会尝试写一些积极的东西。但我没办法列出关于 Python 的好的方面，因为我真的认为 Python 很糟糕。
PHP中对变量使用单引号和双引号的区别？
在PHP中,单引号和双引号大多数情况下没有区别,但是在一些特殊用法上双引号会多一些功能.
双引号可以直接解析变量而单引号不会
例如:
$a='123';
$b='$a';
$c="$a";
echo $b; //输出$a
echo $c; //输出123
特别注意以下例子
echo '$a的值是'.$a; //输出:$a的值是123 (真正想要的结果)
echo "$a的值是".$a; //输出:123的值是123
上面这种要输出的字符串有和变量重名的,就必须用单引号避免解析.
在混合编写代码时,单双引号可以互补避免出错.
例如:
$html1='<div style="color:red">你好世界</div>';
$html2='<div onclick=alert("你好世界");>点击</div>';