Rou1997

Исследовать нужно этот вопрос, например что насчет имени файла, то есть input.value при загрузке с камеры, и из галереи? Также насчет onChange и HTML5 File API, искать различия, если будут обнаружены, провести тестирование в достаточном количестве браузеров и устройств.

Но нужны убедительные аргументы чтобы убедить начальство.

Лучше не убеждать в том, что не нужно, а подумать, как решить проблему иначе. В чем вообще проблема, требуется реальное лицо? Но ведь камера ничего не гарантирует, можно сфотографировать хоть кота, распознавание лиц на сервере нужно.

$count = 0;
while (***fetch***) {
  $count++;
  //
  // и еще какие-то действия
  //
}

header('Location: google.ru');
Дальше объяснять, или сами поймете на основе знаний таких тем, как URL и HTTP?

Если, извините, гадят в подъезде, то нужно анализ кала делать, ну мы его сделаем "а там видно будет", или нужно все-таки установить кодовый замок?
Вероятно, это не вирус на сайте, а бот, эксплуатирующий уязвимость типа shell, то есть самого "размножения" в этом коде и нет, ну, он же изначально там взялся откуда-то, а значит "дыра" все равно есть, и если вы ее еще не убрали, то не сама же она исчезла, она до сих пор там и ей могут пользоваться...
А если и есть смысл анализировать код, то кроме деобфускации всегда нужна отладка, без нее время анализа растет в геометрической прогрессии с размером кода и шифрованием, так что изучайте отладку PHP.

Любые, как по специфике, так и по уровню сложности, если сумеете их убедить.

Потому что так решили создатели Web-сервера.

Ну, это уже чересчур, вынесите onclickв функцию!
И зачем print_r?
Достаточно:
var a = '<?= $product['product_id'] ?>';

В foreachпройтись по всем элементам и каждый pushв новый массив.

Последние пару лет я разрабатывал приложения на языке C# (ASP.NET MVC). Сейчас я работаю не на винде

А как же "хваленые" Mono и ASP.NET Core? Я бы сперва изучил такие решения, даже интересно каковы они в деле, а не на "бумаге" новостей Хабрахабра и т.п., если хороши - то вы можете много сэкономить за счет имеющихся наработок и опыта в ASP.NET.

Если все-таки что-то другое, то рекомендую фреймворк Yii2, именно его потому что кроме REST API наверняка потребуется "админка", а у нее должен быть web UI, так в Yii2 есть кое-какие средства на этот счет - для UI там Bootstrap и для него "обертка" из ООП PHP, причем "из коробки", а вот в Laravel скажем никаких нет.

Если есть голова, то лучше всего в этой ситуации заняться подготовкой дезертирства.

Ну, а пока план готовится, или на случай если головы все-таки нет (то, что вам в армии времени достаточно для саморазвития, это плохой признак):

Есть доступ к компу с IE 6 на борту

Имея интернет, вроде бы не проблема установить новый браузер, хотя многие из них стараются ставиться только через Интернет непоерсдественно на ПК, все равно, уверяю вас, всегда можно что-то придумать, заодно и для головы полезно.

без доступа к интернету, но интернет есть на телефоне.

Вроде как тоже не проблема, с телефона его раздавать.
В крайнем случае, с помощью нескольких сотен рублей в месяц можно обеспечить себе нормальную машину в виде VPS (удаленный рабочий стол), RDP-клиент есть и для Android, хотя с телефона управлять им не получится физически, да и видно на таком дисплее мало что, нужен хотя бы планшет.

Это микрофреймворк, у него по определению нет никакого специального "окружения", все должно работать как и в vanilla PHP, под каждый микрофреймворк никто не будет писать специально.

По поводу токена, код из моего проекта (C#):

webBrowser1.Navigate("https://oauth.vk.com/authorize?client_id=" + textBox2.Text + "&scope=4&display=page&response_type=token");

Далее Timer, почему не использовал DocumentComplete не помню, какой интервал не помню, не очень важно, а код по таймеру такой:

private void timer1_Tick(object sender, EventArgs e)
{
            if (webBrowser1.Url == null) return;
            string s = webBrowser1.Url.AbsoluteUri;
            if (s.IndexOf("access_token=") == -1) return;
            var token = s.Substring(s.IndexOf("access_token=") + "access_token=".Length, s.IndexOf("&expires_in") - (s.IndexOf("access_token=") + "access_token=".Length));
}

Вот и все, token и есть токен, осталось только придумать как передать его "дальше".
Точно помню, что нужен именно WebBrowser или любой другой headless-браузер, а не HTTP, поскольку там используется JavaScript, можно "расковырять" конечно, но не рекомендуется и начинать надо с WebBrowser.
Надеюсь, в коде разберетесь, ну, если захотите - разберетесь, я это делал три года назад и тогда даже не умел пользоваться снифферами, было тяжело, но справился. :)

Скорее всего, где-то кеширование, попробуйте в браузере перезагрузить страницу (а не Вперед - назад) и т.п.
Если не поможет, значит вызов есть где-то еще, делайте отладку кода CMS с помощью логирования.

Дали сайт на доработку. CMS не известная.

Надо было дать компетентному: сниффинг на сервере и клиенте , навыки отладки, тогда бы не было "Я не знаю, что делать(", а теперь им придется подождать, а вам - помучаться, либо передать заказ другому, ну, а вам так и остаться некомпетентным.

Приходиться забивать в поиск все что не знаю.

Совершенно нормально, вы представьте, что есть проблемы, для которых и поиск не знает решений. :)

Сами функции есть и в Notepad++, он легкий и не требовательный к ресурсам, что они делают - вы запомните, примеры использования - все равно будут нужны.

желательно на русскую документацию

Нежелательно.

Используйте Fiddler чтобы сравнить и понять что не так, можно еще и в нем самом конструировать запросы и отправлять, запрос OPTIONS отправить с помощью curl точно можно, см. документацию, но вряд ли это обязательно, скорее проблема в другом.

Ну, во-первых, в TCP есть пакет буфер (это данные, в данном случае это только HTTP) и есть пакет TCP-сегмент, в нем именно заголовок, но буфер если больше примерно 1.5 КБ то отправляется не одним, а несколькими сегментами, а во-вторых все это скрыто в Web-сервере, даже скорее в ОС, даже API Berkeley дает далеко не всю информацию если сокет не Raw IP а именно TCP, и я уверен в PHP нет такой возможности, а если даже и есть, то ее найдет только тот, кто пользуется поиском. :)
Самое верное - это чтобы скажем Wireshark на сервере отдельно записывал журнал в файл, а к нему уже доступ.