PHP安全进阶：站长必学防注入实战
|
SQL注入是PHP网站最常见也最危险的安全漏洞之一，攻击者通过构造恶意输入，绕过登录验证、窃取数据库内容甚至删除整个表。根源在于程序直接拼接用户提交的数据到SQL语句中，未做任何过滤或转义。 最可靠的方法是使用PDO预处理语句。它将SQL结构与数据分离：先定义带占位符的查询模板（如“SELECT FROM users WHERE id = ?”），再绑定用户输入参数执行。数据库引擎会严格区分代码与数据，即使输入“1' OR '1'='1”也不会触发注入——它会被当作普通字符串处理，而非SQL逻辑。
2026AI生成图像,仅供参考 若必须动态拼接表名或字段名（预处理不支持这些位置），务必白名单校验。例如用switch-case限定合法的排序字段（title、created_at、status），或用in_array()比对预设数组，绝不可信任$_GET['sort']的原始值。同理，分页参数$_GET['page']应强制转为整型并校验范围（>0且≤最大页数）。单引号、双引号、反斜杠等特殊字符在插入前需统一处理。但绝不推荐手动addslashes()——它无法应对多字节编码绕过（如GBK双字节截断攻击）。正确做法是设置PDO连接时指定charset=utf8mb4，并启用PDO::ATTR_EMULATE_PREPARES = false，确保真实预编译生效。 前端HTML输出同样存在风险。用户昵称含若未经处理直接echo，可能引发XSS攻击。使用htmlspecialchars($str, ENT_QUOTES, 'UTF-8')转义所有HTML元字符；若需保留部分格式（如论坛富文本），应引入HtmlSanitizer类库，仅允许safe标签（如b、i、a[href]），剥离script、onerror等危险属性。 文件上传功能需三重防护：一是检查$_FILES['file']['type']不可信，必须用fileinfo扩展读取实际MIME类型；二是重命名文件（如md5(uniqid()).'.jpg'），避免执行.php伪装；三是将上传目录设为非可执行（Apache加Options -ExecCGI，Nginx配置location ~ \\.php$ { deny all; }）。 不要忽略基础配置：关闭display_errors（生产环境设为Off），开启log_errors记录异常；设置open_basedir限制脚本只能访问指定目录；禁用危险函数如eval()、system()、exec()，通过php.ini中disable_functions = exec,shell_exec,system,passthru实现。定期更新PHP版本，旧版5.6及更低版本已停止安全支持。 安全不是功能开关，而是贯穿开发全程的习惯。每次接收用户输入，都要问自己：“这段数据是否被当作了代码？”预处理、白名单、转义、最小权限——四把锁，缺一不可。真正的防御不在修补漏洞，而在设计之初就拒绝让恶意输入获得执行机会。 （编辑：91站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
