Основные типы уязвимостей web-приложений

1. SQL-инъекции. Лучшее средство защиты от них экранированные параметризованные запросы.

2. XSS (Cross Site Scripting). Для защиты использовать htmlspecialchars().

3. CSRF (Cross Site Request Forgery). Для защиты все ответы форм проверять на HTTP_REFERRER, чтобы быть увернным, что запрос пришёл из безопасного места.

4. File Inclusion. Для защиты всегда проверять, чтобы пользовательский ввод не попадал в require(), require_once() , include(), include_once().

5. File Upload. Если бизнес-задача требует загрузки пользовательских файлов, нужно убедиться, что пользователь не контролирует расширения файлов и флаг "исполняемый". Это позволит быть уверенным, что атакующий не загрузит вредоносные файлы на сервер и не выполнит код на сервере.