PHP安全防注入实战：H5站长进阶指南

　　H5页面开发中，PHP常被用于后端数据处理与接口响应。但许多站长忽略安全细节，将用户输入直接拼接到SQL查询或系统命令中，导致SQL注入、XSS、命令执行等高危漏洞。一次未过滤的$_GET['id']就可能让数据库裸奔。

　　最基础却最关键的防线是参数化查询。使用PDO或MySQLi预处理语句，彻底切断输入与SQL语法的耦合。例如：$stmt = $pdo->prepare("SELECT FROM articles WHERE id = ?"); $stmt->execute([$_GET['id']]); 这样，即便传入1 OR 1=1，也不会改变SQL结构，数据库只当它是普通字符串值。

　　不要信任任何客户端传来的数据——包括URL参数、表单字段、AJAX请求体、甚至HTTP头（如Referer、User-Agent）。所有入口点都需校验：数字型参数用is_numeric()或filter_var($val, FILTER_VALIDATE_INT)；邮箱用FILTER_VALIDATE_EMAIL；长度、格式、取值范围均应在服务端强制约束，前端JS验证仅作友好提示，不可依赖。

　　输出时同样危险。若将用户提交的昵称直接echo到HTML中，就会触发XSS。应统一使用htmlspecialchars($str, ENT_QUOTES, 'UTF-8')转义特殊字符。对JSON响应，务必用json_encode()并设置Content-Type: application/json，避免JavaScript解析污染。

　　禁用危险函数是必要加固项。在php.ini中关闭eval、assert、system、exec、passthru、shell_exec等函数；若业务必须调用外部程序，改用proc_open限制执行路径与环境，并严格白名单校验参数。同时禁用display_errors，生产环境开启log_errors，防止错误信息泄露数据库结构或路径。

2026效果图由AI设计，仅供参考

　　文件上传是重灾区。绝不直接信任$_FILES['file']['name']，需检查mime类型（通过fileinfo扩展读取，而非$_FILES['type']）、文件头（如用getimagesize验证图片）、扩展名（仅允许白名单如.png/.jpg）、大小及存储路径（保存至非web可访问目录，或通过rewrite规则拦截直接访问）。上传后的文件名必须重命名，如md5(uniqid().rand()).png。

　　会话安全常被忽视。启用session.cookie_httponly = 1和session.cookie_secure = 1（HTTPS下），设置合理的session.gc_maxlifetime，并在登录成功后执行session_regenerate_id(true)防会话固定。敏感操作（如支付、密码修改）须二次验证身份，如校验当前IP或添加一次性令牌。

　　定期更新PHP版本与扩展库，旧版（如PHP 5.6）已停止支持且存在已知漏洞。部署前启用Suhosin或使用Open-Basedir限制脚本可访问目录，配合WAF（如ModSecurity）提供纵深防御。记住：没有绝对安全，只有持续验证、最小权限与深度防御。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!