PHP知识点

csrf和xss攻击分别是什么
CSRF(Cross-site request forgery)跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。
当一个用户登录我们的网站后，在 Cookies 中会存放用户的身份凭证。在大部分时候，就是一个 SessionId 。当用户下次访问我们的网站的时候，我们用这个凭证识别出用户是谁，有没有登录态。

XSS (Cross Site Scripting)，即跨站脚本攻击，是一种常见于 Web 应用中的计算机安全漏洞。大部分的XSS 漏洞都来自于程序没有处理好用户输入的文本内容，恶意攻击者往 Web 页面里嵌入恶意的客户端脚本，当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到攻击者的目的。比如获取用户的 Cookie、导航到恶意网站、携带木马等等！

• 抽象类和接口分别是什么

一、抽象类：
抽象方法：它没有方法体，即没有花括号，直接分号结束；如： public abstract function fun();
抽象类：使用关键字abstract加以修饰的类；
注意事项：
a)、含有抽象方法的类肯定是抽象类，如果一个类是抽象类，它里面可以不包含抽象方法；
b)、抽象类，不能实例化，也就是不能直接new成对象，如果要使用抽象类，就必须定义一个类去继承，并且覆盖父类中的抽象方法；
c)、抽象类对子类，有一个约束的作用；

二、接口：
概念：假如一个抽象类中的所有方法都是抽象的方法【完全抽象类】，那么我们可以使用另外一种定义方法：接口；
声明方式：接口使用关键字interface来定义，接口中只有有常量和抽象方法。

• 设计模式

1.单例设计模式
所谓单例模式，即在应用程序中最多只有该类的一个实例存在，一旦创建，就会一直存在于内存中！
单例设计模式常应用于数据库类设计，采用单例模式，只连接一次数据库，防止打开多个数据库连接。
2.工厂设计模式
主要是当操作类的参数变化时，只用改相应的工厂类就可以
工厂设计模式常用于根据输入参数的不同或者应用程序配置的不同来创建一种专门用来实例化并返回其对应的类的实例。
3.观察者设计模式
观察者模式是挺常见的一种设计模式，使用得当会给程序带来非常大的便利，使用得不当，会给后来人一种难以维护的想法。
一个对象通过提供方法允许另一个对象即观察者 注册自己）使本身变得可观察。当可观察的对象更改时，它会将消息发送到已注册的观察者。这些观察者使用该信息执行的操作与可观察的对象无关。结果是对象可以相互对话，而不必了解原因。观察者模式是一种事件系统，意味着这一模式允许某个类观察另一个类的状态，当被观察的类状态发生改变的时候，观察类可以收到通知并且做出相应的动作;观察者模式为您提供了避免组件之间紧密耦。
4.适配器模式
将一个类的接口转换成客户希望的另一个接口,适配器模式使得原本的由于接口不兼容而不能一起工作的那些类可以一起工作。
应用场景：老代码接口不适应新的接口需求，或者代码很多很乱不便于继续修改，或者使用第三方类库。
5.策略模式
将一组特定的行为和算法封装成类，以适应某些特定的上下文环境。
例如：一个电商网站系统，针对男性女性用户要各自跳转到不同的商品类目，并且所有广告位展示不同的广告。

• PHP微服务

微服务就是将一个完整的系统，按照业务功能，拆分成一个个独立的子系统，在微服务结构中，每个子系统就被称为“服务”。这些子系统能够独立运行在web容器中，它们之间通过RPC方式通信。
举个例子，假设需要开发一个在线商城。按照微服务的思想，我们需要按照功能模块拆分成多个独立的服务，如：用户服务、产品服务、订单服务、后台管理服务、数据分析服务等等。这一个个服务都是一个个独立的项目，可以独立运行。如果服务之间有依赖关系，那么通过RPC方式调用。
好处：
1、系统之间的耦合度大大降低，可以独立开发、独立部署、独立测试，系统与系统之间的边界非常明确，排错也变得相当容易，开发效率大大提升。
2、系统之间的耦合度降低，从而系统更易于扩展。我们可以针对性地扩展某些服务。假设这个商城要搞一次大促，下单量可能会大大提升，因此我们可以针对性地提升订单系统、产品系统的节点数量，而对于后台管理系统、数据分析系统而言，节点数量维持原有水平即可。
3、服务的复用性更高。比如，当我们将用户系统作为单独的服务后，该公司所有的产品都可以使用该系统作为用户系统，无需重复开发。

• PHP垃圾回收机制（GC）
  PHP使用了引用计数（reference counting）GC机制，同时使用根缓冲区机制，当PHP发现有存在循环引用的zval时，就会把其投入到根缓冲区，当根缓冲区达到配置文件中的指定数量后，就会进行垃圾回收，以此解决循环引用导致的内存泄漏问题。垃圾回收机制是一种动态存储分配的方案。它会自动释放程序不再需要的已分配的内存块。垃圾回收机制可以让程序员不必过分关心程序内存分配，从而将更多的精力投入到业务逻辑。在现在的流行各种语言当中，垃圾回收机制是新一代语言所共有的特征。

• PHP高并发和大流量的解决方案
  1、第一个要说的就是数据库，首先要有一个很好的架构，查询尽量不用* 避免相关子查询
  2、给经常查询的添加索引
  3、用排序来取代非顺序存取，如果条件允许 ，一般MySQL服务器最好安装在Linux操作系统中 。
  4、关于apache和nginx在高并发的情况下推荐使用nginx，nginx是Apache服务器不错的替代品。nginx内存消耗少 官方测试能够支撑5万并发连接，在实际生产环境中跑到2～3万并发连接数。
  5、php方面不需要的模块尽量关闭，使用memcached，Memcached 是一个高性能的分布式内存对象缓存系统，不使用数据库直接从内存当中调数据，这样大大提升了速度，iiS或Apache启用GZIP压缩优化网站，压缩网站内容大大节省网站流量。
  6、禁止外部的盗链。
  7、控制大文件的下载。
  8、使用不同主机分流主要流量。
  9、使用流量分析统计软件。在网站上安装一个流量分析统计软件，可以即时知道哪些地方耗费了大量流量，哪些页面需要再进行优化，因此，解决流量问题还需要进行精确的统计分析才可以。
  PHP：
  1、加载尽可能少的模块；
  2、如果是在windows平台下，尽可能使用IIS或者Nginx来替代我们平常用的Apache；
  3、安装加速器（都是通过缓存php代码预编译的结果和数据库结果来提高php代码的执行速度）
  策略：安装Squid 反向代理服务器，能够大幅度提高服务器效率。压力测试、漏洞测试。

• php+mysql如何防止sql注入
  1、永远不要使用超级用户或所有者帐号去连接数据库。要用权限被严格限制的帐号。
  2、检查输入的数据是否具有所期望的数据格式。PHP 有很多可以用于检查输入的函数，从简单的 变量函数 和 字符类型函数（比如 is_numeric()，ctype_digit()）到复杂的 Perl 兼容正则表达式函数都可以完成这个工作。
  3、如果程序等待输入一个数字，可以考虑使用 is_numeric() 来检查，或者直接使用 settype() 来转换它的类型，也可以用 sprintf() 把它格式化为数字。
  4、预处理。（预处理语句针对SQL注入是非常有用的，因为参数值发送后使用不同的协议，保证了数据的合法性。）
  5、mysql_real_escape_string – 转义 SQL 语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集 ！

• 什么是时序攻击？
  在密码学中,时序攻击是一种侧信道攻击,攻击者试图通过分析加密算法的时间执行来推导出密码。每一个逻辑运算在计算机需要时间来执行,根据输入不同,精确测量执行时间,根据执行时间反推出密码。
  如果是用普通的 == 来进行比较，那么两个字符串是从第一位开始逐一进行比较的，发现不同就立即返回 false，那么通过计算返回的速度就知道了大概是哪一位开始不同的，这样就实现了电影中经常出现的按位破解密码的场景。
  所以php中为了应对这种情况,可以使用hash_equals函数。

• PHP魔术方法

__construct()，类的构造函数
__destruct()，类的析构函数
__call()，在对象中调用一个不可访问方法时调用
__callStatic()，用静态方式中调用一个不可访问方法时调用
__get()，获得一个类的成员变量时调用
__set()，设置一个类的成员变量时调用
__isset()，当对不可访问属性调用isset()或empty()时调用
__unset()，当对不可访问属性调用unset()时被调用。
__sleep()，执行serialize()时，先会调用这个函数
__wakeup()，执行unserialize()时，先会调用这个函数
__toString()，类被当成字符串时的回应方法
__invoke()，调用函数的方式调用一个对象时的回应方法
__set_state()，调用var_export()导出类时，此静态方法会被调用。
__clone()，当对象复制完成时调用
__autoload()，尝试加载未定义的类
__debugInfo()，打印所需调试信息