php代码怎么鉴权，前端html源码可以不暴露接口吗？
html属于的前端编程中一项，接口是必须要暴露的，起码基于现在的技术框架是无法避免的，因为只要是有关html的代码只需要在浏览器里面右键点击查看源代码所有的相关的html代码都会原封不动的展示出来，所以前端页面的很多样式特效只要有一家有新的变化出来，紧接着很快就会被抄袭拷贝了，样式和风格太容易拿来使用了，所以想在加密只能在数据接口上做做文章，现在web安全已经成为一个非常热点的问题，因为随着网页应用的普及化网页安全将会越来被重视。
常见的web都有哪些安全隐患，为什么要重视web安全？SQL注入：这种危害性最大，直接违背设计者的初衷，注入篡改数据库操作，再严重点直接操纵数据库服务器，网站越大数据库被拖库的可能性越大，这是各大运营网站必须要面对的实际问题。在实际操作过程中对于用户的信息一定要管控，不要由着用户输入任何可能性对数据库产生危害的操作，不要使用动态拼接SQL，尽量不要返回异常信息给用户。
XSS：跨站脚本攻击
向web网页注入html脚本获取cookie为主，以js注入执行为主，导航到恶意网站或者注入木马，防护规则其实也很简单在js中，过滤掉关键字：JavaScript，cookie属性设置为http-only，同时提高代码严谨度和规范性比如在避免未经授权访问会话状态，限制会话的寿命，对身份验证的cookie进行加密，避免明文的形式密码发送。
当然还有其他的隐患：比如没有限制URL访问，越权访问，重复提交增加服务器负载等都是web安全领域涉及到的问题，现在web开发越来越倾向于前后端分离的方式，极大提升了开发的效率，但安全防护级别降低了，话又说回来只要在互联网上的东西很难保证绝对的安全，对于web来讲不上网就相当于瘫痪，所以只能在防护级别增加力度，为了防止被盗就采用数字加密方式常见的加密方式有（非对称的RSA，私钥加密等等），加盐操作（在拥有MD5算法的基础上采用加盐策略）普及下简单的概念加盐：“在密码学中，是指通过在密码任意固定位置插入特定的字符串，让散列后的结果和使用原始密码的散列结果不相符，这种过程称之为“加盐””，另外还有一种给现在支付吧或者微信接口经常使用的token机制，用令牌限制，这种通用性比较强，相当于在传输真正的数据之前先发送一个令牌指令验证打开门，验证通过之后才允许数据安全通过，而且这个令牌也是有期限的，到期了就会关闭。
网络的世界里面没有绝对的安全，在平常的开发过程中，代码的规范性以及严谨程度也会影响到安全指数，现在的网站开发功能一般都比较强大，参与人数多都会加大出错的概率，而且经常还有一个服务器上运行多个运营平台，这些都是安全隐患，绝大部分安全都是因为个人失误造成。
安全是无法完全杜绝，但可以通过一些方案或者措施最大程度的规避。
希望能帮到你。
如何快速集成短信验证码API「图文教程」？
以SUBMAIL为例，在进行以下步骤前，请先完成您的账户配置并认证。
步骤一、前往-》开发者 -》SDK开发包下载页面，下载对应语言的SDK开发包。SUBMAIL 提供多达9种语言的开发包，SDK 集成了 SUBMAIL 的API请求方法，并将API中的参数进行封装，开发者仅需下载对应语言的开发包即可快速配置短信服务。
如上图所示，点击您当前使用的程序语言，选择对应的开发包下载即可（本文以 PHP 语言为例）。
步骤二、创建 APPIDSUBMAIL的API请求需要应用ID和密钥用于 API 身份鉴权，创建应用的步骤如下：
1.前往-》创建/管理 APPID -》创建 APPID -》在弹出框中输入 APPID 名称，即完成 APPID 的创建。
2. 将已创建的 APPID 和 APPKEY 复制到开发包的配置文件内
以 PHP SDK为例，请将应用页面的 APPID 和 APPKEY 复制到 app_config.php 文件内的对应位置，如下图：
各语言的配置文件对应清单：
PHP => /path/to/app_config.phpJAVA => /path/to/app_config.propertiesC# => /path/to/AppConfigs.csPYTHON => /path/to/app_configs.pyRUBY => /path/to/submaildemo.rbGO => /path/to/main.goOBJECTIVE-C => /path/to/config/SMConfig.hSWIFT => /path/to/config/Config.swiftNode.js => /path/to/config.js复制/粘贴后保存该配置文件，进行下一步；
三、SDK接口调用本文以 PHP 开发包为例，其他语言可作为参考，具体文件和目录可能略有不同
打开下载的开发包中 DEMO 目录下的 message_send_demo.php 文件；请参考message/send，https://www.mysubmail.com/chs/documents/developer/YPWD84在$submail->setTo('186********');参数中填写接收者的手机号码；在$submail->setcontent('*********')参数中填写短信内容;完整的代码如图所示：
保存该demo文件，运行即可发送该短信。
以上代码输出的短信为：【SUBMAIL】您的验证码：4438，请在10分钟内输入。
阿里云为什么禁用25端口？
阿里云禁用25端口，完全是出于安全的考虑。封25端口是大势所趋，不光是阿里云，很多服务器运营商都已经屏蔽了25端口。
25端口变得不安全25端口为简单邮件传输协议（SMTP）服务所开发，是用于发送邮件。25端口是一个很古老的端口，在1982年时RFC821中首次引入该协议时分配给SMTP的端口号。当你给别人发送邮件时，你的机器的某个动态端口（大于1024）就会与邮件服务器的25号端口建立一个连接，你发送的邮件就会通过这个连接传送到邮件服务器上，保存起来。
黑客可以利用25端口寻找SMTP服务器，用来转发垃圾邮件和传播恶意软件。25端口也被很多木马程序所开放，比如Ajan、Antigen、Email Password Sender、ProMail、trojan、Tapiras、Terminator、WinPC、WinSpy等等。比如：WinSpy可以用过25端口监视计算机正在运行的所有窗口和模块。
申请解封阿里云25端口如果我们项目部署在阿里云服务器上，又要使用发送邮件，可以申请解封25端口。
注意：官方提醒，阿里云的25端口仅用来连接第三方的SMTP服务器，从第三方的SMTP服务器外发邮件。如果已经申请IP的服务器直接通过SMTP发送邮件，阿里云有权永久性封禁TCP 25端口，并不在提供解封服务。
1、登录云盾安全管控平台管理控制台。
也可以通过阿里云管理控制台右上角的账户图标，单击安全管控云盾安全管控平台管理控制台打开。
2、鼠标点击“业务申请 > 25端口解封”，再点击弹出页面右上角“25端口解封申请”。
3、选择IP类型，填写您要报备的IP及关联域名（仅能申请登录账号下所拥有的IP），勾选“已阅读并同意《25端口使用服务协议》”，鼠标点击下一步。
4、填写申请表单，详细说明您的TCP 25端口使用描述及使用情况。然后鼠标点击确定，提交25端口解封申请。
使用SSL加密端口465来外发邮件服务器25端口默认是是关闭的，但可以使用SSL加密端口465来外发邮件。通过连接外部邮箱的发信服务器，并通过程序配置的账号、密码鉴权验证来发送邮件，而不是服务器本身来发送邮件，就和本地电脑使用outlook等客户端连接邮箱服务器发送邮件是一致的。
需要注意：
1、需要将外部邮箱服务器的端口改为SSL加密端口（通常是465端口）。
2、在程序中启用SSL加密协议连接邮箱服务器。
.NET源代码实现样例
PHP源代码实现样例
ASP源码实现样例
阿里云或其他服务器运营商告诉你用465端口发信，就是让你借助第三方的邮件服务器来发信，而不是讲服务器改用为邮件服务器。如下图：
用阿里云或其他服务器运营商的服务器来建一个邮件服务器，是不被允许的。普通用户没有正常的运营条件和技术，很容易滥用或被黑客利用，而造成服务器或网络不稳定。另外，国际有反垃圾邮件联盟，并且针对域名和IP地址有黑白名单机制，服务器的IP地址被举报滥用是很难有解禁的可能，IPV4的IP地址目前是很稀缺的资源。
以上个人浅见，欢迎批评指正。
认同我的看法，请点个赞再走，感谢！
喜欢我的，请关注我，再次感谢！