PHP开发安全规范：从输入清洗到SQL注入防护

确立零信任原则

Web应用程序安全性最重要的认识是不应信任任何外部数据（outside data）。所谓外部数据，是指非程序员直接在PHP代码中输入的数据。在采取安全措施之前，来自GET变量、表单POST请求、数据库读取结果、配置文件、会话变量或Cookie的任何数据都视为不可信。只有明确由程序内部生成的数据才是安全的。

例如，以下变量被认为是安全的，因为它们直接定义在代码中：

$myUsername = 'tmyer';
$arrayUsers = array('tmyer', 'tom', 'tommy');
define("GREETING", 'Hello there' . $myUsername);

然而，一旦数据来源于用户输入，如$_POST，则必须被视为“有瑕疵”（tainted）：

$myUsername = $_POST['username']; // 有瑕疵！
$arrayUsers = array($myUsername, 'tom', 'tommy'); // 继承有瑕疵！
define("GREETING", 'hello there' . $myUsername); // 继承有瑕疵！

第1步：实施输入清洗

目的是将不可信的外部数据转化为受控的内部数据。即使客户端使用了JavaScript进行校验，攻击者仍可绕过前端直接提交恶意构造的请求。

操作方法：编写清洗函数，对$_POST等来源的数据进行规范化处理。例如，若只期望接受字母且限制长度，可使用正则表达式剔除非法字符：

$myUsername = cleanInput($_POST['username']); // 处理后变为干净数据

function cleanInput($input) {
    $clean = strtolower($input);
    // 仅保留小写字母 a-z
    $clean = preg_replace("/[^a-z]/", "", $clean); 
    // 限制最大长度为12个字符
    $clean = substr($clean,0,12);
    return $clean;
}

收紧服务器运行环境

除了代码层面的处理，PHP的配置环境也直接影响安全性。开发者应避免依赖容易引发混淆的全局变量机制。

关键配置：禁用 register_globals

如果启用了register_globals，PHP会将全局范围内的变量（如GET、POST、Cookie、Session等）自动注册为同名局部变量。这会导致命名空间冲突和严重的逻辑漏洞。例如，黑客可能通过Cookie设定一个同名的$admin变量来绕过认证逻辑。

在现代PHP版本中，该设置默认已禁用。但在旧版本或自定义环境中，必须在php.ini中确认其为Off状态，从而强迫开发人员显式使用$_POST['variable']或$_SESSION等超全局数组来访问数据，确保数据来源清晰可控。

坚持可读性与纵深防御

代码可读性即安全性

紧凑但晦涩的代码（Obfuscated code）会增加审查难度，使潜在的安全盲点难以被察觉。优先选择结构清晰的写法。例如，将三元运算符展开为if-else块，可以让我们更直观地看到变量的来源，并立即判断其是否需要清洗。

纵深防御体系

单一防护手段往往不足以应对所有威胁。即便使用正则表达式确保GET参数全为数字，仍需对最终拼接到SQL查询中的字符串进行转义。这种多层级的防护策略被称为“纵深防御”，能有效阻断不同攻击链路的组合尝试。

第2步：防范SQL注入攻击

SQL注入是最常见的Web攻击之一，攻击者通过在输入框中注入恶意SQL片段，改变原有查询逻辑以获取权限或删除数据。

危险示例分析

以下登录脚本直接将用户输入拼接到SQL语句中，未做任何转义：

<?php
$username = $_POST['user'];
$pw = $_POST['pw'];
// 风险操作：直接拼接
$sql = "select count(*) as ctr from users where username='$username' and password='$pw'";
$result = mysql_query($sql);
?>

当用户在密码框输入 ' or '1'='1 时，SQL语句变为：
select ... where username='foo' and password='' or '1'='1'。
这将导致查询永远返回真值，从而使攻击者无需密码即可登录系统。

解决方案：使用转义函数或预处理

在使用传统的mysql_*_real_escape_string()函数前需注意，该扩展已在PHP 7.0中被移除。对于维护老项目，可使用此方法：

// 假设使用遗留的 MySQL 连接 $link
$username = mysql_real_escape_string($_POST['user'], $link);
$pw = mysql_real_escape_string($_POST['pw'], $link);
$sql = "select count(*) as ctr from users where username='$username' and password='$pw'";

经过转义后，用户的特殊字符会被反斜杠转义（如'变为\'），使其失去语法意义，仅作为普通文本内容存入数据库。现代开发中，强烈建议迁移至 PDO 或 MySQLi 并使用**预处理语句（Prepared Statements）**，这能从架构层面彻底根除SQL注入问题。

以上就是PHP安全开发与防护的详细内容，更多关于Web应用加固与最佳实践的资料请关注本站其它相关文章！