FanatPHP

Если судить по документации, то hash_equals не то же самое, что ===, чтобы избежать атаки по времени. Можно почитать сорс, чтобы увидеть, что там есть дополнительная внутренняя логика.

E_ALL - константа, без кавычек.
display_errors - лучше "on", а не "1".

$clientInfo = curl_exec($ch);
$data = json_decode($clientInfo, true);
if (json_last_error() != JSON_ERROR_NONE) {
  //echo json_last_error_msg();
  throw new \Exception(json_last_error_msg());
}
echo $data['data'][0]['id'];

если кратко: https://bugs.php.net/bug.php?id=62467

This can't be fixed; PHP doesn't control the way libxml2 does the allocations.

У вас в тэгах указан Yii. Почему вы не создали команду (консольный контроллер) средствами самого фреймворка и не запускаете её через php yii <controller>/<action>?

upd: Вот тут достаточно хорошо и понятно всё описано.

header не только перенаправляет на другую страницу, а может добавлять и другие заголовки - content-type например и т.д. А если заголовки уже отправлены, то все. То же касается и session_start() - должна быть вызвана до передачи заголовков

Постраничная навигация должна быть не по номерам страниц, а номерам первых комментариев на очередной странице, т.е. в идентификаторе в url должен быть именно этот идентификатор а не номер страницы. При получении несуществующего 'первого' комментария, делать поиск по ближайшего наибольшего id (select ... where id > @current_page_id limit 1), то потребует инкрементального id (а так все и делают) это значит и сортировку комментариев на странице делать можно по нему, и вообще выборку.

Недостатки - сложно получить N-тую страницу, так как придется перебирать всю базу, но обычно никто не заморачивается с этим и обходятся первые M страниц, затем многоточие, затем ссылка на последнюю и количество страниц считать от общего количества комментариев.

Используй Invisible reCAPTCHA. Не усложняй пользователям жизнь своей бессмысленной борьбой с ботами. Ведь проще закрыть сайт, чем разгадывать ту хрень. Пользователям нет дела до твоей борьбы с ботами.

https://odan.github.io/2017/08/16/create-a-php-pha...

Если вы показываете стектрейс пользователю - то это ваша ошибка независимо от того какие данные там видны. Ошибки кода вы должны логировать себе, а пользователю показывать красивую страницу 500.

PDO при подключении даёт не ошибку, а генерирует исключение. Именно для того чтобы его было легко перехватить, как и любое исключение, и обработать.