1，xss+sql注入：
可以对能输入的进行xss防范：
$_request=filter_xss($_request);$_get=filter_xss($_get);$_post,$_cookie,
sql注入：
filter_sql();
最简单的xss函数就是htmlspecialchars；
最简单sql函数就是mysql_real_escape_string();
2,命令执行
php代码的执行，如果eval
shell命令的执行 exec
文件处理，fopen，fwirte等
3，上传漏洞
最保险的方式就是随机命名，和文件后缀白名单，一般不要给予执行权限。
4，文件包含函数
比如include_once,require(),require_once(),还有些漏洞出现中文件下载，比如down.php?file=/../../..etc/passwd,直接下载服务器配置文件。
5，权限的绕过
a,后台文件未授权访问，最常见的是session验证码
b,为作用户隔离，例如：mail.php?id=23显示了你的信件，那么id=24就能查看别人的信件。
6，信息泄露
这类的都算比较低的漏洞，比如文件路径暴露，源代码暴露等。
一般关闭错误提示，error_reporting(0);,放在公共的配置文件下。
当然还有很多很多的漏洞，比如cookie伪造，跨域等等。