對于 PHP 的安全性來說錯誤報告是一把雙刃劍。一方面可以提高安全性，另一方面又有害。

攻擊系統時經常使用的手法就是輸入不正確的數據，然后查看錯誤提示的類型及上下文。這樣做有利于攻擊者收集服務器的信息以便尋找弱點。比如說，如果一個攻擊者知道了一個頁面所基于的表單信息，那么他就會嘗試修改變量：

Example #1 用自定義的 HTML 頁面攻擊變量

<form method='post' action='attacktarget?username=badfoo&amp;password=badfoo'> <input type='hidden' name='username' value='badfoo' /> <input type='hidden' name='password' value='badfoo' /></form>

通常 PHP 所返回的錯誤提示都能幫助開發者調試程序，它會提出哪個文件的哪些函數或代碼出錯，并指出錯誤發生的在文件的第幾行，這些就是 PHP 本身所能給出的信息。很多 PHP 開發者會使用 show_source()、 highlight_string() 或者 highlight_file() 函數來調試代碼，但是在正式運行的網站中，這種做法可能會暴露出隱藏的變量、未檢查的語法和其它的可能危及系統安全的信息。在運行一些具有內部調試處理的程序，或者使用通用調試技術是很危險的。如果讓攻擊者確定了程序是使用了哪種具體的調試技術，他們會嘗試發送變量來打開調試功能：

Example #2 利用變量打開調式功能

<form method='post' action='attacktarget?errors=Y&amp;showerrors=1&amp;debug=1'> <input type='hidden' name='errors' value='Y' /> <input type='hidden' name='showerrors' value='1' /> <input type='hidden' name='debug' value='1' /></form>

不管錯誤處理機制如何，可以探測系統錯誤的能力會給攻擊者提供更多信息。

比如說，PHP 的獨有的錯誤提示風格可以說明系統在運行 PHP。如果攻擊者在尋找一個 .html 為頁面，想知道其后臺的技術（為了尋找系統弱點），他們就會把錯誤的數據提交上去，然后就有可以得知系統是基于 PHP 的了。

一個函數錯誤就可能暴露系統正在使用的數據庫，或者為攻擊者提供有關網頁、程序或設計方面的有用信息。攻擊者往往會順藤摸瓜地找到開放的數據庫端口，以及頁面上某些 bug 或弱點等。比如說，攻擊者可以一些不正常的數據使程序出錯，來探測腳本中認證的順序（通過錯誤提示的行號數字）以及腳本中其它位置可能泄露的信息。

一個文件系統或者 PHP 的錯誤就會暴露 web 服務器具有什么權限，以及文件在服務器上的組織結構。開發者自己寫的錯誤代碼會加劇此問題，導致泄漏了原本隱藏的信息。

有三個常用的辦法處理這些問題。第一個是徹底地檢查所有函數，并嘗試彌補大多數錯誤。第二個是對在線系統徹底關閉錯誤報告。第三個是使用 PHP 自定義的錯誤處理函數創建自己的錯誤處理機制。根據不同的安全策略，三種方法可能都適用。

一個能提前阻止這個問題發生的方法就是利用 error_reporting() 來幫助使代碼更安全并發現變量使用的危險之處。在發布程序之前，先打開 E_ALL 測試代碼，可以幫你很快找到變量使用不當的地方。一旦準備正式發布，就應該把 error_reporting() 的參數設為 0 來徹底關閉錯誤報告或者把 php.ini 中的 display_errors 設為 off 來關閉所有的錯誤顯示以將代碼隔絕于探測。當然，如果要遲一些再這樣做，就不要忘記打開 ini 文件內的 log_errors 選項，并通過 error_log 指定用于記錄錯誤信息的文件。

Example #3 用 E_ALL 來查找危險的變量

<?php if ($username) { // Not initialized or checked before usage$good_login = 1; } if ($good_login == 1) { // If above test fails, not initialized or checked before usagereadfile ('/highly/sensitive/data/index.html'); }?>