PHP进阶：H5站长安全防注入实战

　　H5页面常嵌入PHP后端逻辑，尤其在表单提交、URL参数传递、JSON接口等场景下，极易成为SQL注入、XSS、命令执行等攻击的入口。许多站长误以为前端校验即安全，实则攻击者可绕过JS直接发请求，真正防线必须落在PHP层。

　　防范SQL注入的核心是杜绝拼接SQL字符串。即使使用mysql_query()（已废弃）或mysqli扩展，若直接将$_GET['id']插入SQL语句，攻击者传入1' OR '1'='1便可能拖库。正确做法是统一使用PDO预处理：绑定参数类型，数据库引擎自动转义与隔离变量，语义清晰且防注入效果彻底。注意启用PDO::ATTR_EMULATE_PREPARES => false，禁用模拟预处理，避免底层绕过。

2026AI生成图像,仅供参考

　　XSS攻击多发于动态输出用户输入内容。例如echo $_GET['keyword']会将原样渲染。应始终对输出做上下文感知过滤：HTML内容用htmlspecialchars($str, ENT_QUOTES, 'UTF-8')，JavaScript内联变量用json_encode($val, JSON_UNESCAPED_UNICODE)，URL参数用urlencode()或rawurlencode()。切勿依赖strip_tags()或简单替换，因其无法应对编码绕过（如javascript:alert(1)经UTF-7编码可逃逸）。

　　文件操作类函数风险极高。file_get_contents($_GET['file'])可能被构造为/etc/passwd或../config.php导致敏感文件泄露；system($_POST['cmd'])更直接执行任意系统命令。务必禁用allow_url_include、disable_functions中加入exec、shell_exec、passthru等高危函数；对文件路径做白名单校验——仅允许特定前缀（如'uploads/'）+正则过滤（/^[a-zA-Z0-9_\\-\\.]+$/），并使用basename()截取真实文件名，规避路径穿越。

　　H5常调用PHP接口返回JSON数据，易忽略Content-Type头。若未设置header('Content-Type: application/json; charset=utf-8')，部分浏览器可能触发MIME嗅探，将JSON响应误解析为HTML，使其中含恶意脚本的字段被渲染执行。同时，对API接口启用CORS时，避免Access-Control-Allow-Origin: 配合Credentials=true，应精确指定可信域名，防止跨域劫持。

　　安全不是功能补丁，而是开发习惯。启用display_errors=Off与log_errors=On，禁止错误信息暴露路径、版本等敏感信息；定期更新PHP版本，老旧版本（如PHP 5.6）已停止安全维护；使用Composer安装依赖时，通过sensio-labs/security-checker或PHPStan扫描已知漏洞库。每一份H5上线前，用Burp Suite或curl手动测试单引号、尖括号、分号等特殊字符能否触发异常响应，验证防护有效性。

（编辑：91站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!