KOLANICH

В некоторых редакторах есть поиск и замена по регулярным выражениям.

1 Сервер хранит открытый ключ клиента в открытом виде, клиент хранит закрытый ключ клиента, сгенерированный на клиенте специально для этого.
2 Сервер выдаёт криптографически безлпасное случайное число, клиент его подписывает.
3 Сервер проверяет подпись.
Использовать DSA.

Гммммм, а если просто

<?
$key="key";
if(hash_equals($key,$POST["key"])){
   $pdo=new PDO(....);
   $res=[];
   $res["res"]=$pdo->query($POST["query"]);
   $res["err"]=$pdo->errorInfo();
   echo json_encode($res);
}
else
   echo "gtfo";
?>

Советую не копирастничать. Лично мне это ничего хорошего не принесло, хотя я и не особо копирастничал (ни с кем не судился, но всё равно, дрм мне боком вышло - оно ухучшило продукт, можно сказать фатально испортило, поэтому в конце концов я сделал версию без дрм и раздал её проверенным пользователям).

Конечно же bugzilla.

1 от iframe это не зависит: move_uploaded_file выполняется на сервере
2 заливай яваскриптом, а не фреймами.
3 код - явный копипаст
4 переименовывать файл в md5 нельзя - легко предугадать и проэксалуатировать при наличии lfi (да, время подбирается, а к тому же его может светить сервер в заголовках). Php сам заботится об именовании: tmp_name и есть безопасное имя (если для его генерации используется безопасный prg).
5 файл имеет имя tmp_name, name - это имя из заголовков.

Откуда вы такие берётесь? Нельзя не читать документацию.

гм....
использовать AF_UNIX сокеты для коммуникации и отдельные экземпляры PHP, засунутые в контейнеры?

ещё наткнулся на php.net/manual/ru/runkit.sandbox.php - это встроенная в php песочница

Мне кажется, что никак. Если твоё приложение может отправить запрос, то и любой с его правами может это сделать.
Как одна из мер - попробовать договориться с банком, чтобы пропускало не все платежи, а только попадающие под определённые параметры. А не попадающие под эти условия платежи должны привлекать внимание твоё и службы безопасности банка. Ну и о задержке и откате транзакций тоже договориться.

по строке на элемент
а вообще, вам нужно посмотреть в сторону документо-ориентированных, в частности в сторону mongo

ещё отключи BOM и прочую фигню. До и после открывающих и закрывающих тегов ничего быть не должно.

<?ob_start();?>
всё остальное тут
<?ob_flush();?>

, если я правильно понял, о чём ты.
Ты хочешь вывести страницу разом?

просто сохраните айпи в поле массива $SESSION и проверяйте на каждой странице, если не совпадает - разлогинивайте (session_destroy).
Если сервер - апач, используйте для этого опцию .htaccess php_value auto_prepend_file .

поставьте капчу

Через сокеты. Но они у вас, наверняка, тоже не работают.