PHP开发安全基础：用户输入过滤与防御策略

核心安全理念

第一原则：绝不要信任外部数据

在Web应用程序中，任何非程序员直接硬编码在PHP脚本中的数据都被视为不可信的外部数据。这包括通过 GET 或 POST 提交的变量、数据库查询结果、配置文件、会话变量以及 Cookie。

例如，以下代码片段中的变量是安全的，因为它们是在服务器端内部设定的：

<?php
$myUsername = 'tmyer';
$arrayUsers = array('tmyer', 'tom', 'tommy');
define("GREETING", 'hello there' . $myUsername);
?>

然而，直接从用户获取的数据则存在风险。如果用户提交的内容被直接用于后续操作（如存入数组或常量），可能导致“污染”：

<?php
$myUsername = $_POST['username']; // 危险！未经验证的数据
$arrayUsers = array($myUsername, 'tom', 'tommy'); // 可能被污染
define("GREETING", 'hello there' . $myUsername); // 可能被污染
?>

即使前端使用 JavaScript 进行校验，也不能完全依赖，因为攻击者可以绕过浏览器直接发送 HTTP 请求。因此，必须在后端对 $_POST 等数据进行清洗。

配置安全：禁用 register_globals

旧版本 PHP 中的 register_globals 选项会自动将 GET/POST/Cookie 数据注册为全局变量。一旦启用，会导致变量来源混淆。现代开发中应确保此设置关闭，强制通过 $_GET、$_POST 等超全局数组明确访问数据，避免同名变量被意外覆盖。

具体威胁与防护措施

第1步：防御 SQL 注入

SQL 注入发生在攻击者通过操纵输入数据，改变原有 SQL 语句逻辑时。例如，在一个简单的登录验证场景中：

<?php
$username = $_POST['user'];
$pw = $_POST['pw'];
$sql = "select count(*) as ctr from users where username='".$username."' and password='". $pw."' limit 1";
$result = mysql_query($sql);
// ... 后续逻辑
?>

如果用户在密码栏输入 ' or '1'='1，SQL 语句将被篡改，导致验证永远成立。

**解决方法**：使用 mysql_real_escape_string() 对涉及数据库查询的用户输入进行转义。

<?php
$username = $_POST['user'];
$pw = $_POST['pw'];
$sql = "select count(*) as ctr from users where username='".mysql_real_escape_string($username)."' and password='". mysql_real_escape_string($pw)."' limit 1";
// ... 后续逻辑
?>

经过转义后，特殊字符（如单引号）将被转义，使其仅被视为字符串内容而非 SQL 语法，从而阻断注入。

第2步：限制 GET 变量类型与长度

当应用通过 URL 传递参数（如 ?pid=33）时，应假设这些值同样不可信。若业务逻辑要求 PID 必须是数字，可使用 is_numeric() 进行初步检查，但需注意它允许科学计数法等复杂格式。

**更严谨的做法**是使用正则表达式配合长度检查：

<?php
$pid = $_GET['pid'];
if (strlen($pid)) {
    // 确保仅由数字组成且不超过5位
    if (!preg_match("/^[0-9]+$/", $pid) || strlen($pid) > 5) {
        // 拒绝非法输入或重定向
        exit(); 
    }
}
// 继续处理... 
?>

这种“纵深防御”策略不仅限制了数据类型，还通过截断或拒绝超长输入来预防潜在的缓冲区溢出攻击。

第3步：防止跨站点脚本 (XSS)

XSS 攻击通常通过在表单中输入 HTML 标签或 JavaScript 代码来实现。例如，在留言板功能中，攻击者可插入 <script> 标签。

**防护方法**：使用 strip_tags() 函数移除所有 HTML 标签，或者保留白名单中的特定标签：
strip_tags($input, '<b><i>');

第4步：防御远程表单提交

攻击者可能复制你的表单，修改 action 地址并向服务器发送伪造请求。虽然检查 HTTP_REFERER 有一定作用，但容易被伪造。

**最佳实践**：实现 CSRF Token 机制。在生成表单页时，创建一个随机令牌并存入 Session；同时在表单中隐藏该字段。提交时比对两者是否一致，不一致则判定为非法请求。

第5步：长度检查与十六进制清理

为防止缓冲区溢出和异常数据处理，应对所有输入设定最大长度限制（如使用 substr()）。此外，对于长文本输入，可编写自定义函数清除潜在的十六进制转义序列（如 \x00）：

<?php
function cleanHex($input) {
    return preg_replace("![\\][xX]([A-Fa-f0-9]{1,3})!", "", $input);
}
?>

总结

PHP 安全性不仅仅依赖单一措施，而是建立在“零信任”的基础上。从禁用不安全配置到严格的输入清洗、数据库转义，再到防篡改令牌，每一步都是构筑安全防线的重要环节。遵循纵深防御原则，才能有效抵御复杂的网络攻击。

以上就是PHP开发中不能违背的安全规则的详细内容，更多关于PHP安全防护和用户输入过滤的资料请关注本站其它相关文章！