PHP安全加固基础指南_PHP避免常见安全漏洞说明

PHP应用安全核心是堵住常见漏洞入口，需严格验证输入、使用预处理防SQL注入、按输出上下文选择转义方式、限制文件操作并关闭危险函数。

PHP应用安全的核心在于堵住常见漏洞入口，而不是堆砌复杂防护。大多数被攻破的网站，问题出在基础配置和编码习惯上。

输入验证不能只靠前端

用户提交的数据永远不可信，前端JS校验只是提升体验，后端必须重做验证。比如手机号、邮箱、数字范围等，要用PHP内置函数严格过滤。

• 用 filter_var() 处理邮箱、URL、IP等标准格式，别自己写正则判断
• 整数用 filter_var($input, FILTER_VALIDATE_INT)，带范围限制加 options 参数
• 字符串长度、字符集限制用 mb_strlen() 和 mb_ereg()（或 preg_match + u修饰符）
• 所有 $_GET、$_POST、$_COOKIE、$_FILES 数据，进入业务逻辑前必须经过验证或转义

SQL注入：预处理是唯一靠谱方案

拼接SQL字符串（哪怕用了 addslashes() 或 mysql_real_escape_string()）都算裸奔。PDO 或 MySQLi 的预处理语句才是标准解法。

• PDO 示例：$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); $stmt->execute([$id]);
• 命名参数更清晰：$stmt = $pdo->prepare("SELECT * FROM posts WHERE status = :status"); $stmt->execute(['status' => 'publish']);
• 不要用 mysql_* 函数（已废弃），也不要用 mysqli_query() 拼接变量
• 动态表名/字段名无法预处理，需白名单校验：in_array($table, ['users', 'posts'], true) ? $table : 'users';

输出上下文决定转义方式

同一段数据，在HTML、JS、CSS、URL、Shell中含义不同，错误的转义等于没转义。

• HTML内容用 htmlspecialchars($str, ENT_QUOTES | ENT_HTML5, 'UTF-8')
• JS字符串内嵌用 json_encode($str, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG)，再包单引号
• URL参数值用 urlencode()，不是 rawurlencode()（除非明确需要）
• 命令行调用（如 exec()）必须用 escapeshellarg()，且优先考虑不用 shell
• 模板引擎（Twig、Blade）默认开启自动转义，但需确认是否关闭了某些变量的转义

文件操作与权限要克制

上传、包含、写入文件是高危操作，每一步都要设限。

• 上传文件不直接信任 $_FILES['file']['type']，用 finfo_file() 检查真实MIME类型
• 保存路径避开 web 可访问目录，或用 .htaccess / nginx 配置禁止执行 PHP
• include/require 动态文件名必须白名单控制，禁用用户可控路径拼接
• 敏感配置文件（如数据库密码）不要放在 webroot 下，.env 文件应禁止 HTTP 访问
• PHP配置中关闭危险函数：disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source

基本上就这些。不复杂，但容易忽略。安全不是加一层防火墙，而是把每个数据入口和出口都看作一道门，亲手检查锁好了没有。

# css  # mysql  # php  # html  # js  # 前端  # json  # html5  # nginx  # cookie  # 编码  # 防火墙  # sql  # select  # require  # filter_var  # mysqli  # pdo  # 字符串  # 堆 

相关文章： 如何快速搭建虚拟主机网站？新手必看指南  如何快速查询域名建站关键信息？  如何在腾讯云服务器上快速搭建个人网站？  SAX解析器是什么，它与DOM在处理大型XML文件时有何不同？  专业网站设计制作公司,如何制作一个企业网站，建设网站的基本步骤有哪些？  免费网站制作模板下载,除了易企秀之外还有什么H5平台可以制作H5长页面，最好是免费的？  已有域名和空间，如何快速搭建网站？  宝塔建站教程：一键部署配置流程与SEO优化实战指南  活动邀请函制作网站有哪些,活动邀请函文案？  php json中文编码为null的解决办法  c++怎么用jemalloc c++替换默认内存分配器【性能】  如何制作网站标识牌,动态网站如何制作（教程）？  如何通过VPS建站无需域名直接访问？  建站之星图片链接生成指南：自助建站与智能设计教程  潍坊网站制作公司有哪些,潍坊哪家招聘网站好？  山东云建站价格为何差异显著？  建站之星3.0如何解决常见操作问题？  php能控制zigbee模块吗_php通过串口与cc2530 zigbee通信【介绍】  胶州企业网站制作公司,青岛石头网络科技有限公司怎么样？  义乌企业网站制作公司,请问义乌比较好的批发小商品的网站是什么？  制作网站怎么制作,*游戏网站怎么搭建？  网站制作说明怎么写,简述网页设计的流程并说明原因？  网站制作新手教程,新手建设一个网站需要注意些什么？  高防网站服务器：DDoS防御与BGP线路的AI智能防护方案  如何在建站之星绑定自定义域名？  c# 服务器GC和工作站GC的区别和设置  图册素材网站设计制作软件,图册的导出方式有几种？  建站VPS选购需注意哪些关键参数？  如何快速查询网站的真实建站时间？  网站制作软件免费下载安装,有哪些免费下载的软件网站？  网站建设制作、微信公众号,公明人民医院怎么在网上预约？  移民网站制作流程,怎么看加拿大移民官网？  一键网站制作软件,义乌购一件代发流程？  微网站制作教程,我微信里的网站怎么才能复制到浏览器里？  建站主机数据库如何配置才能提升网站性能？  高端企业智能建站程序：SEO优化与响应式模板定制开发  网站制作大概要多少钱一个,做一个平台网站大概多少钱？  较简单的网站制作软件有哪些,手机版网页制作用什么软件？  深入理解Android中的xmlns:tools属性  潮流网站制作头像软件下载,适合母子的网名有哪些？  宝塔建站助手安装配置与建站模板使用全流程解析  免费制作海报的网站,哪位做平面的朋友告诉我用什么软件做海报比较好?ps还是cd还是ai这几个软件我都会些我是做网页的？  如何做静态网页,sublimetext3.0制作静态网页？  武汉网站设计制作公司,武汉有哪些比较大的同城网站或论坛，就是里面都是武汉人的？  弹幕视频网站制作教程下载,弹幕视频网站是什么意思？  如何在云服务器上快速搭建个人网站？  网站建设制作需要多少钱费用,自己做一个网站要多少钱，模板一般多少钱？  如何在建站主机中优化服务器配置？  建站之星安装后界面空白如何解决？  攀枝花网站建设,攀枝花营业执照网上怎么年审？