Yaf框架是一个轻量级的PHP框架，虽然它本身具有一定的安全性特点，但是在开发过程中仍然需要注意一些常见的攻击手段，以保障系统的安全性。以下是一些常见的攻击手段以及如何防范它们：
SQL注入攻击：在用户输入中注入恶意的SQL语句，以获取敏感信息或破坏数据库。防范方法是使用预处理语句或者参数绑定来处理用户输入，并严格限制用户输入的格式和长度。
XSS攻击：跨站脚本攻击是一种利用网页漏洞对访问用户进行恶意攻击的手段。防范方法是对用户输入进行过滤和转义，不允许恶意脚本在页面中执行。
CSRF攻击：跨站请求伪造攻击是一种伪装用户发送恶意请求的攻击方式。防范方法是使用CSRF令牌验证用户请求的合法性，并对表单提交进行验证。
文件上传漏洞：用户可以上传恶意文件到服务器，破坏系统或者获取敏感信息。防范方法是对上传文件进行类型、大小和内容等方面的验证，并将上传文件存储在非web可访问的目录下。
敏感信息泄露：未经合适的权限控制或者加密处理，导致敏感信息泄露给攻击者。防范方法是使用合适的权限控制机制，对敏感信息进行加密存储和传输。
总的来说，要保障Yaf框架应用的安全性，开发者需要对系统进行安全审计，及时修复漏洞和更新安全补丁，加强用户输入和输出的过滤和验证，以及合理设置权限控制和加密机制。