Roman Terekhin

При выводе записей из бд нужно делать экранирование от xss самому. Курите доки по вашему шаблонизатору и классам экранирования в фреймворке.

Пагинация это вечный гемор. Offset на больших объёмах будет жестко тормозить, а если еще и нагрузка большая по запросам то совсем беда.
Такие пагинации в открытый мир лучше не выпускать, я обычно это использую в админке, или лк пользователя, в общем в местах где нагрузка около нуля.
Для всех остальных случаев я бы советовал курить пагинацию на основе первичных ключей, сначала будет больно все это писать, но потом приятно ;)

Тут очень хорошо про это расписано

Тут вообще никакой защиты нет. :)
Софт защищают протекторами со встроенной системой лицензирования и привязки к hwid (VMP, Enigma, etc) и то их редко но вскрывают.

Не нужно вам шифрование между php и mysql, зачем тратить такты CPU в пустую. Если залезут на сервер то дампнут и бд и ключи ваши, которые наверняка будут в конфигах лежать. Лучше займитесь базовой безопасностью окружения. На внешних портах ничего кроме веб сервера (еще ssh и возможно dhcp в "облаках") висеть не должно, отключите в ssh аутентификацию по паролю, сделайте ssh ключ под паролем надежным, проведите аудит своего приложения, в первую очередь на предмет sqlinj, используйте PDO ну или ORM, upload файлов извне только по белым спискам и только в изолированный virtualhost с отключенным php, только для статики (в идеале - отдельный сервер). Регулярно обновляйте ПО на сервере. Бэкапы - ваши друзья в горе и радости.

Это только самое элементарное.

use modules\database\connection;
// Было тут
$CONNECT = new Connection;

file_put_contents($_SERVER['DOCUMENT_ROOT'].'/vasa.txt' , 'тут был вася');

Если вы принимаете имя удаляемого файла из внешнего мира - вопрос валидации должен стоять на первом месте. Как минимум это так:

if (!empty($_POST['name'])) {
  $name = basename($_POST['name']); //иначе беды огребете. 
  $file_path = $_SERVER['DOCUMENT_ROOT'].'/project/html/'.$name;
  if (is_file($file_path)) {
     @unlink($file_path);
  }
}

По поводу самого алгоритма - все в топку, у вас по 1 форме на каждую запись с одинаковыми айдишниками, браузер с ума сходит, делайте rest, храните в базе физическое имя файла, из внешнего мира получайте только id файла, все остальное должно быть blackbox.

Допустим:

<? foreach ($nnn as $row) {
    $v=$row['id'];
    $n=$row['filename'];
    ?>
                <div class="admph">
                    <?php
                    echo "$row[filename]";
                    ?>
                    <button type="button" onclick="deleteRecord(<?=$v?>); return false;">Удалить</button>
                </div>
                <?php
}

<script>
function deleteRecord(id) {
   console.log(id);
   //Тут уже ajax post на action удаления, параметр del со значением id
}
</script>

curl_setopt($ch, CURLOPT_urlERER, $url); //Это чего такое?

Судя по тому что валятся и curl и file_get_contents у вас к php не подключена OpenSSL. А для курла не настроен корневой сертификат.
Пробуйте так. Смотрите какую ошибку курл выдаст.

$ua = 'User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Widows NT)';
$url = "https://sites.ru/api/index.php?key=apikey&action=create&service=295&quantity=1&link=111";
 
$ch = curl_init($url);
      curl_setopt($ch, CURLOPT_HEADER, 0);
      curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 5); 
      curl_setopt($ch, CURLOPT_TIMEOUT, 10); 
      curl_setopt($ch, CURLOPT_USERAGENT, $ua);
      curl_setopt($ch, CURLOPT_RETURNTRANSFER,1);
      curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
      curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 1); //Можете поставить в 0, но это риск mitm.
      curl_setopt($ch, CURLOPT_URL, $url);
$buf = curl_exec ($ch);

 // Проверяем наличие ошибки.
if (curl_errno($ch)) {
     //На продакшене заменить логгированием. 
     echo 'Ошибка curl: ' . curl_error($ch);
}
curl_close ($ch);
     
echo $buf;

Хоть С++ уже далеко ушел от "Си к классами", но можно, компиляторы обратно совместимы. Только осторожно.

Отключи у поля ON UPDATE CURRENT_TIMESTAMP, при этом придется его заполнять вручную, например функцией NOW() в запросе

P.S ячейку online как метку последней активности я бы в int хранил, просто заливаешь туда unix timestamp (функция time() из php), проще потом время считать.

Что же это за валюта с семью знаками после запятой? Беда у вас будет с округлениями.

Код работы с числами верный, а вот вывод нет.

echo $result.' баллов<br/>';
echo $basik.' начислено';

+ Если вывод в шаблоне, то

<div id="random"><?=$result;?> баллов</div>
<div id="result"><?=$basik;?> начислено</div>

Вообще в законах нет понятия "первое время".
Может прилететь незаконное предпринимательство, уклонение от уплаты налогов, ну и в зависимости от деятельности маркетплейса (некоторые товары/виды деятельности лицензируются) тоже может прилететь.
Площадки аля робомаркет не более чем схемы обхода покупки онлайн-касс, но не обхода регистрации ип/юр.лица.
Риск небольшой, особенно если суммы незначительные, но за жопу взять могут.

В восьмом мускуле сменился метод авторизации
https://bugs.php.net/bug.php?id=76243
Тут решения на выбор:
https://stackoverflow.com/questions/49948350/phpmy...

Это конкретно под ваш кусок кода. В идеале нужно смотреть все и переписывать с нуля.

<?php

$num1 = intval(isset($_POST['num1']) ? $_POST['num1'] : 0);
$num2 = intval(isset($_POST['num2']) ? $_POST['num2'] : 0);

if (empty($num1) || empty($num2)) {
  echo "Что-то не передано!";
}

?>

Самое простое без особой боли - апнуть Redis (тык).
В него же можно потом загнать какие-либо горячие данные и сессии.