PHP防范SQL注入与XSS攻击的最佳实践

SQL注入攻击原理与危害

SQL注入是一种将恶意SQL代码插入到应用程序中的数据库查询中的攻击技术。当应用未对用户输入进行充分校验时，攻击者可以通过构造特殊的输入（如 ' or '1'='1'），改变原始SQL逻辑，从而绕过身份验证、泄露敏感数据甚至修改数据库内容。

在老旧的代码实现中，直接拼接用户输入是高危操作。例如：

<?php
// 危险示例：直接拼接变量
$user = $_POST['username'];
$sql = "SELECT * FROM admin WHERE username='$user'";
mysql_query($sql);
?>

若 $user 值为 ' OR '1'='1，生成的SQL变为 SELECT * FROM admin WHERE username='' OR '1'='1'，这将导致无条件返回所有管理员记录，造成严重的安全事故。

XSS（跨站脚本）攻击风险

XSS攻击旨在向网页中注入恶意的客户端脚本（通常是JavaScript）。当应用未对输出内容进行适当编码时，浏览器会执行这些脚本。攻击者可借此窃取用户Cookie、会话令牌，或以用户身份执行非法操作。

典型的脆弱场景如下：

<form method="post" action="">
    <input type="text" name="comment">
    <input type="submit">
</form>

<?php
if(isset($_POST['comment'])) {
    // 危险：直接输出用户输入
    echo $_POST['comment'];
}
?>

如果用户提交 <script>alert(document.cookie)</script>，该脚本将在其他访客的浏览器中执行，可能导致Cookie被窃取。

核心防御策略

第1步：使用预处理语句防御SQL注入

防御SQL注入最根本的方法是分离SQL代码与数据。推荐使用PDO或MySQLi的预处理语句功能，这能确保用户输入始终被视为数据而非可执行的SQL命令。

推荐做法（PDO）：

<?php
$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :user');
$stmt->execute([':user' => $_POST['username']]);
$user = $stmt->fetch();
?>

注意：传统的 mysql_real_escape_string() 虽有一定作用，但依赖于字符集配置且已废弃，不应作为唯一依赖。预处理语句是行业标准解决方案。

第2步：实施输出转义以防范XSS

对于XSS防护，核心原则是“在所有数据输出到HTML页面之前进行转义”。使用PHP内置函数将特殊字符转换为HTML实体。

推荐做法：

<?php
$input = $_POST['comment'];
// 使用 htmlspecialchars 将 &, ", ', <, > 等转换为实体
$safe_output = htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
echo $safe_output;
?>

这样，即使输入包含 <script>，浏览器也会将其显示为文本而非执行脚本。

总结

安全性应贯穿于开发的每一个环节。针对SQL注入，务必采用参数化查询或预处理语句；针对XSS攻击，需严格执行输出编码。同时，保持PHP版本更新并避免使用已被标记为不安全的旧扩展（如 mysql_* 系列），是保障应用安全的基础。以上就是PHP中防范SQL注入与XSS攻击的详细内容，更多关于PHP安全开发资料请关注本站其它相关文章！