安全，是软件开发中最重要的话题之一。在互联网时代，Web应用的安全问题越来越受到重视。SQL注入、XSS跨站脚本、CSRF跨站请求伪造、文件上传漏洞、会话劫持……各种安全漏洞层出不穷。一个小小的安全漏洞，可能导致整个网站被入侵，数据被泄露，服务器被控制。

作为PHP开发者，掌握安全编程，写出更安全的代码，是必备的技能。今天分享PHP安全编程，从常见漏洞到防护措施，帮你写出更安全的代码。

为什么要重视安全

  1. 保护用户数据：用户名、密码、邮箱、手机号、身份证号、银行卡号等用户隐私数据，是黑客攻击的目标。数据泄露会给用户带来损失，也会让网站失去信任。
  2. 保护网站安全：网站被入侵可能被篡改内容、挂马、用作攻击跳板，甚至数据被删除导致瘫痪。
  3. 法律合规：网络安全法、个人信息保护法等法律法规要求网站运营者保护用户数据和网站安全，否则可能面临行政处罚、民事赔偿甚至刑事责任。
  4. 信任和声誉：安全是用户信任的基础。一旦发生安全事件，网站声誉会受到严重损害。

常见安全漏洞及防护

1. SQL注入

原理：将用户输入直接拼接到SQL语句中，攻击者构造恶意输入改变SQL结构，执行任意SQL命令。

危险示例：

$username = $_POST['username'];
$sql = "SELECT * FROM users WHERE username = '$username'";
// 攻击者输入 admin' OR '1'='1 即可绕过登录

防护：使用PDO预处理语句，这是最佳方式。

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
$stmt->execute([':username' => $username]);

同时配合输入验证、最小权限原则（不用root连接数据库）、生产环境不显示数据库错误。

2. XSS跨站脚本攻击

原理：用户输入直接输出到HTML页面，攻击者注入恶意JavaScript代码，在其他用户浏览器中执行，窃取信息、劫持会话。

类型：反射型（URL参数）、存储型（数据库）、DOM型（JavaScript操作DOM）。

危险示例：

echo "搜索结果：" . $_GET['search'];
// 攻击者输入 <script>alert('XSS')</script>

防护：输出时使用htmlspecialchars()转义。

echo "搜索结果：" . htmlspecialchars($_GET['search'], ENT_QUOTES, 'UTF-8');

配合设置HTTPOnly Cookie（防止JS读取）、内容安全策略CSP头、不信任任何用户输入。

3. CSRF跨站请求伪造

原理：利用用户已登录身份，在用户不知情的情况下以用户名义执行恶意操作。

防护：使用CSRF Token，表单中添加随机Token，提交时验证。

session_start();
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
// 表单中添加
echo '<input type="hidden" name="csrf_token" value="' . $_SESSION['csrf_token'] . '">';
// 提交时验证
if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) {
    die('CSRF验证失败');
}

配合SameSite Cookie属性、敏感操作二次验证（如修改密码需再次输入密码）。

4. 文件上传漏洞

原理：允许用户上传文件但未严格验证，攻击者上传恶意PHP文件（WebShell）获取服务器权限。

防护：

  1. 验证文件扩展名和MIME类型，只允许jpg/png/gif等
  2. 验证文件真实内容，用getimagesize()检测是否为真实图片
  3. 上传后重命名为随机文件名
  4. 上传目录设置为不可执行PHP（Nginx配置deny all）
  5. 限制文件大小
  6. 最好将上传文件放在Web根目录之外或使用对象存储
$allowedExts = ['jpg', 'jpeg', 'png', 'gif'];
$fileExt = strtolower(pathinfo($_FILES['avatar']['name'], PATHINFO_EXTENSION));
if (!in_array($fileExt, $allowedExts)) die('不允许的文件类型');
if (@getimagesize($_FILES['avatar']['tmp_name']) === false) die('不是有效图片');
$newFilename = uniqid() . '.' . $fileExt;
move_uploaded_file($_FILES['avatar']['tmp_name'], 'uploads/' . $newFilename);

5. 会话劫持和固定

防护：

  1. 设置Cookie安全属性：HTTPOnly（JS无法读取）、Secure（仅HTTPS传输）、SameSite（限制跨站）
  2. 登录后重新生成会话ID：sessionregenerateid(true)
  3. 设置会话超时，长时间不活动自动失效
  4. 使用HTTPS加密传输
session_set_cookie_params([
    'lifetime' => 0, 'path' => '/', 'domain' => '',
    'secure' => true, 'httponly' => true, 'samesite' => 'Lax'
]);
session_start();
// 登录成功后
session_regenerate_id(true);

6. 代码执行漏洞

原因：eval()、assert()、system()、exec()、shellexec()等危险函数使用用户输入作为参数；文件包含漏洞；pregreplace()使用/e修饰符。

防护：

  1. 尽量避免使用危险函数，必须使用时严格过滤用户输入
  2. php.ini中禁用危险函数：disablefunctions = eval,assert,system,exec,shellexec,passthru
  3. 文件包含使用白名单验证
  4. 关闭allowurlinclude和allowurlfopen
  5. 使用PHP 7.0以上版本（preg_replace /e已移除）

7. 目录遍历漏洞

原理：攻击者构造../等特殊路径访问Web根目录之外的文件。

防护：使用realpath()规范化路径，检查是否在允许目录内。

$baseDir = realpath('files/');
$file = realpath('files/' . $_GET['file']);
if ($file === false || strpos($file, $baseDir) !== 0) die('非法路径');
readfile($file);

8. 暴力破解

防护：

  1. 强密码策略（长度、复杂度）
  2. 登录失败多次后锁定账户或增加验证码
  3. 使用验证码防止自动化破解
  4. 登录失败后延迟响应增加破解成本
  5. 密码使用password_hash()加密存储，不要明文或MD5
// 注册时
$passwordHash = password_hash($password, PASSWORD_DEFAULT);
// 登录时
if (password_verify($inputPassword, $passwordHash)) { /* 密码正确 */ }

服务器和环境安全

  1. 使用HTTPS：加密传输，使用Let's Encrypt免费证书
  2. 关闭不必要的服务和端口：只开放80、443、22等必要端口
  3. 防火墙配置：iptables/firewalld只允许特定IP和端口
  4. 文件权限：PHP文件644，目录755，配置文件600，不要用777
  5. 隐藏PHP版本：php.ini设置expose_php = Off
  6. 定期更新：PHP、MySQL、Nginx、操作系统定期更新修复漏洞
  7. 定期备份：网站文件和数据库定期备份
  8. 安全SSH：使用密钥登录，禁用密码登录，修改默认端口
  9. 日志监控：监控服务器日志及时发现异常

安全编码规范

  1. 不要信任任何用户输入：$GET、$POST、$COOKIE、$SERVER、$_FILES都是不可信的
  2. 输入验证，输出转义：输入验证格式范围，输出到不同上下文时相应转义
  3. 使用预处理语句：数据库操作用PDO预处理，不要直接拼接SQL
  4. 密码安全：用passwordhash()和passwordverify()
  5. 会话安全：Cookie设置HTTPOnly、Secure、SameSite，登录后重新生成会话ID
  6. 文件上传安全：严格验证类型内容，重命名，上传目录不可执行
  7. 错误处理：生产环境关闭错误显示，记录日志，不泄露敏感信息
  8. 安全测试：定期代码审查、渗透测试、漏洞扫描
  9. 持续学习：安全技术不断发展，保持安全意识

常用安全工具

  • 代码审计：PHP_CodeSniffer、PHPMD、Psalm、PHPStan
  • 漏洞扫描：OWASP ZAP、Nikto、SQLMap
  • 在线检测：360网站安全检测、百度安全检测、腾讯安全检测

总结

PHP安全编程核心要点：

  • 常见漏洞：SQL注入（预处理语句）、XSS（输出转义）、CSRF（Token）、文件上传（严格验证+重命名+不可执行）、会话劫持（安全Cookie+会话再生）、代码执行（避免危险函数+禁用）、目录遍历（realpath规范化）、暴力破解（强密码+失败限制+验证码）
  • 服务器安全：HTTPS、关闭不必要服务、防火墙、文件权限、隐藏版本、定期更新、备份、日志监控、安全SSH
  • 编码规范：不信任用户输入、输入验证输出转义、预处理语句、密码安全、会话安全、文件上传安全、错误处理、安全测试、持续学习

安全不是一次性工作，而是持续的过程。安全意识要贯穿开发整个生命周期。"安全无小事"，一个小漏洞可能导致严重后果。希望每个PHP开发者都能重视安全，写出更安全的代码。