utf-8 是一种在web应用中经常使用的一种 unicode 字符的编码方式，使用 utf-8 的好处在于它是一种变长的编码方式，对于 ANSII 码编码长度为1个字节，这样的话在传输大量 ASCII 字符集的网页时，可以大量节约网络带宽。
使用 utf-8 编码来编写网页的时候， 往往会因为 bom (Byte Order Mark) 的问题，导致网页中经常出现一些不明的空行或者乱码字符。
这些都是因为 utf-8 编码方式对于 bom 不是强制的。因此 utf-8 编码在保存文件的时候，会出现不同的处理方式。比如有的浏览器(FireFox)可以自动过滤掉所有 utf-8 bom ， 有的 (IE) 只能过滤掉一次 bom （为什么是一次？ 当你出现 Include 多次文件时就会碰上这个问题了）。
使用editplus或其他编辑器删除掉文件中的BOM签名，重新刷新页面，样式正常了。
关于BOM的说明：
在UCS 编码中有一个叫做"ZERO WIDTH NO-BREAK SPACE"的字符，它的编码是FEFF。而FFFE在UCS中是不存在的字符，所以不应该出现在实际传输中。UCS规范建议我们在传输字节流前，先传输字符"ZERO WIDTH NO-BREAK SPACE"。这样如果接收者收到FEFF，就表明这个字节流是Big-Endian的；如果收到FFFE，就表明这个字节流是Little-Endian的。因此字符"ZERO WIDTH NO-BREAK SPACE"又被称作BOM。
UTF-8不需要BOM来表明字节顺序，但可以用BOM来表明编码方式。字符"ZERO WIDTH NO-BREAK SPACE"的UTF-8编码是EF BB BF。所以如果接收者收到以EF BB BF开头的字节流，就知道这是UTF-8编码了。
Windows就是使用BOM来标记文本文件的编码方式的。
UTF-8编码的文件中，BOM占三个字节。如果用记事本把一个文本文件另存为UTF-8编码方式的话，用UE打开这个文件，切换到十六进制编辑状态就可以看到开头的FFFE了。这是个标识UTF-8编码文件的好办法，软件通过BOM来识别这个文件是否是UTF-8编码，很多软件还要求读入的文件必须带BOM。可是，还是有很多软件不能识别BOM。我在研究Firefox的时候就知道，在Firefox早期的版本里，扩展是不能有BOM的，不过Firefox 1.5以后的版本已经开始支持BOM了。现在又发现，PHP也不支持BOM。
PHP在设计时没有考虑BOM的问题，它不会忽略UTF-8编码的文件开头BOM的那三个字符。由于必须在<?或者<?php后面的代码才会作为PHP代码执行，所以这三个字符将会直接输出。如果插件的文件有这个问题，将会导致在后台页面里激活或者不激活插件后显示白屏，如果是模版文件有这个问题，将会导致这三个字符直接输出，造成页面上方有一个小空行。
国外的英文插件和模版一般都是用的ASCII码的编码方式，不会有BOM，只有国内的插件和模版会由于作者的不知情造成问题。
另外，修改模版时，由于输出页面使用UTF-8编码，那么修改模版的时候如果有加入中文字符的话，必须把文件转成UTF-8编码才能正常显示，这个时候如果所使用的编辑器自动加上了BOM的话，将会造成在页面上输出这三个字符，显示效果就要看浏览器了，一般是一个空行或是一个乱码。
您可能感兴趣的文章：
PHP实例:检测并清除文件开头的BOM信息
Php批量去除bom头信息的实现代码
php去掉bom头的代码分享
PHP 过滤页面中的BOM数据的简单实例
检测php文件是否有bom头的代码
批量清除php文件中bom的方法
检查并清除php文件中bom的函数
BOM与DOM的区别分析
有关UTF-8 编码中BOM的检测与删除
有关php中sql注入与XSS攻击的相关介绍，有需要的朋友不妨参考下。
首先，来看下php中的sql注入攻击。
mysql_connect()("localhost","root","123456")or die("数据库连接失败!");
mysql_select_db("test1");
$user=$_post['uid'];
$pwd=$_POST['pass'];
if(mysql_query()("SELECT * from where
admin
= `username`='$user' or `password`='$pwd'"){
echo "用户成功登陆..";
} eles {
echo "用户名或密码出错";
}
?>
以上代码用于检测用户名或密码是否正确，可是在一些恶意攻击者中提交一些敏感代码，后果可想而知。
post判断注入的方式有2种。
1、在form表单的文本框输入 "or‘1'=1"或者"and 1=1"
在查询数据库的语句就应该是：
SELECT admin from where login = `user`=''or‘1'=1' or `pass`=‘xxxx'
当然也不会出现什么错误,因为or在sql的语句中代表和，或的意思。当然也会提示错误。
当时我们已经发现了可以执行SQL语句之后就可以查询当前表的所有信息。例如：正确的管理员账户和密码进行登录入侵。。
修复方式1：
使用javascript脚本过滤特殊字符(不推荐,指标不治本)
如果攻击者禁用了javascript还是可以进行SQL注入攻击。。
修复方式2：
使用mysql的自带函数进行过滤。
// 省略连接数据库等操作
$user=mysql_real_escape_string($_POST['user']);
mysql_query("select * from admin whrer `username`='$user'");
?>
2、XSS攻击以及防范。
提交表单：
<intup tyep="text" name="test">
<intup tyep="submit" name="sub" value="提交">
</form>
接收文件：
echo $_POST['test'];
}
代码很简单，只是模拟了下使用场景。
3、加入攻击者提交
<script>alert(document.cookie);</script>
在返回的页面就应该显示当前页面的cookie信息。
我们可以运用到某些留言板上（提前是没过滤的），然后当管理员审核改条信息时盗取COOKIE信息，并发送到攻击者的空间或者邮箱。
攻击者可以使用cookie修改器进行登陆入侵了。
下面介绍一个最常用的解决方法。
修复方案1：使用javascript进行转义
修复方案2:使用php内置函数进行转义
if(empty($_POST['sub'])){
$str=$_POST['test'];
htmlentities($srt);
echo $srt;
}
使用php异常处理类Exception的例子，供大家学习参考。
在php中，异常处理的基本思想是代码在try代码被调用执行。如果try码块出现错误，可以执行一个抛出异常的处理。
1、php5提供了基本的异常处理类
class Exception
{
protected $message = 'Unknown exception'; // 异常信息
protected $code = 0; // 用户自定义异常代码
protected $file; // 发生异常的文件名
protected $line; // 发生异常的代码行号
function __construct($message = null, $code = 0);
final function getMessage(); // 返回异常信息
final function getCode(); // 返回异常代码
final function getFile(); // 返回发生异常的文件名
final function getLine(); // 返回发生异常的代码行号
final function getTrace(); // backtrace() 数组
final function getTraceAsString(); // 已格成化成字符串的 getTrace() 信息
/* 可重载的方法 */
function __toString(); // 可输出的字符串
}
?>
简单示例：(通过异常，抛出错误信息)
try {
$error = 'my error!';
throw new Exception($error)
} catch (Exception $e) {
echo $e->getMessage();
}
2、扩展此类
class MyException extends Exception
{
// 重定义构造器使 message 变为必须被指定的属性
public function __construct($message, $code = 0) {
// 自定义的代码
// 确保所有变量都被正确赋值
parent::__construct($message, $code);
}
// 自定义字符串输出的样式
public function __toString() {
return __CLASS__ . ": [{$this->code}]: {$this->message}\n";
}
public function customFunction() {
echo "A Custom function for this type of exception\n";
}
}
异常处理的基本思想是代码在try代码被调用执行。如果try码块出现错误，我们可以执行一个抛出异常的处理。某些编程语言，如java,，在特定情况下将自动抛出异常。在php中，异常必须手动抛出。可以使用如下方式抛出一个异常：
Throw new Exception(‘message',code);
Throw 关键字将触发异常处理机制，它是一个语言结构，而不是一个函数，但是必须给它传递一个值。它要求一个接受对象。在最简单的情况下，可以实例化一个内置的Exception类。
最后，在try代码之后，必须至少给出一个catch代码块。可以将多个catch代码块与一个try代码块进行关联。如果每个catch代码块可以捕获一个不同类型的异常，可以使用多个catch代码块是有意义的。
例如，如果想捕获Exception类的异常。
Catch(Exception $e)
{
//handing exception
}
Catch代码捕获的对象就是导致异常并传递给throw语句的对象（被throw 语句抛出）。使用Exception 类的实例，是不错的选择。
Exception类提供了如下的内置方法：
Getcode() —返回传递给构造函数的代码。
GetMessage() —返回传递给构造函数的消息。
getFile() —返回产生异常代码的文件的路径
getLine() —返回产生异常的代码所在的行。
注意：
当捕获到一个异常后，try()块里面的后续代码将不会继续执行，而是会尝试查找匹配的“catch”代码块。
当抛出一个异常后，如果不进行catch处理，则会报“Uncaught exception 'Exception'”错误。
function test($val){
if ($val>100){
throw new Exception("提示信息:您输入的值过大");
}
}
test(111);
?>
3.当一个异常抛出后，catch语句块是否进行处理应区别对待。
用户注册功能的部分代码
try{
//check forms filled in
if(!filled_out($_POST)){
throw new Exception('你还没有填写表单，请回去填写');
}
//check email address not valid
if(!check_email($email)){
throw new Exception('邮件的格式不正确');
}
//检查密度的长度是否大于6
if(strlen($passwd<6)){
throw new Exception('密度的长度应该大于6');
}
//检查两次密码是否相等 http://www.
if($passwd!=$passwd1){
throw new Exception('两次密码不一样，请重新输入');
}
//检查用户名的长度是否正确
if(strlen($username)>16){
throw new Exception('用户名的长度不符,请重新输入');
}
} catch(Exception $e){
echo $e->getMessage(); //输出异常信息。
}
?>
您可能感兴趣的文章：
PHP 异常处理相关知识
PHP5 的异常处理、错误的抛出及回调函数等
php中的异常处理、错误的抛出及错误回调函数
一个简单的php自定义异常类
学习PHP错误与异常设置