站长进阶：PHP安全加固与防注入实战
|
PHP应用常因疏忽暴露SQL注入、XSS、文件上传等风险。加固并非堆砌工具，而是建立分层防御意识：输入即不可信，输出需过滤，权限须最小化。 SQL注入仍是高频威胁。杜绝拼接SQL语句，强制使用PDO或MySQLi的预处理语句。例如：$stmt = $pdo->prepare("SELECT FROM users WHERE id = ?"); $stmt->execute([$id]); 即便$id来自GET参数，?占位符确保数据被当作纯值处理，不参与SQL语法解析。 用户输入需严格校验与过滤。对ID类整型参数，用intval()或filter_var($id, FILTER_VALIDATE_INT)；对邮箱，采用filter_var($email, FILTER_VALIDATE_EMAIL)；对富文本，仅允许白名单HTML标签（如使用HTML Purifier），禁用onerror/onload等事件属性。切勿依赖客户端JS验证，服务端必须二次校验。 XSS防护关键在输出上下文。向HTML页面输出变量时，统一用htmlspecialchars($data, ENT_QUOTES, 'UTF-8')；若输出到JavaScript字符串中，需先JSON编码再转义：echo 'var msg = ' . json_encode($data, JSON_UNESCAPED_UNICODE) . ';'; 向CSS或URL中插入动态内容，则分别使用CSS转义函数或urlencode()，避免上下文混淆导致绕过。 文件操作隐患突出。禁止直接使用$_FILES['file']['name']作为保存名，应重命名并限定扩展名白名单（如['jpg','png','pdf']），用pathinfo()提取后缀校验，而非简单截取字符串。上传目录禁止执行PHP脚本，可通过Web服务器配置（如Nginx的location ~ \\.php$ { deny all; }）实现物理隔离。 错误信息切忌暴露细节。将display_errors设为Off，开启log_errors并将错误日志写入独立文件（非Web可访问路径）。自定义错误页，避免泄露路径、版本、数据库结构等敏感信息。同时，确认php.ini中register_globals、magic_quotes_gpc已禁用——这些过时特性反而增加逻辑漏洞。
AI生成的趋势图，仅供参考 定期更新PHP版本及扩展库，旧版存在未修复漏洞。使用Composer管理依赖时，运行composer audit检查已知安全问题。部署前删除install.php、phpinfo.php等调试文件，并关闭目录列表功能。安全不是一劳永逸的配置项，而是每次代码变更时主动思考“数据从哪来、到哪去、中间是否可信”的习惯。（编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
