PHP代码安全性怎么加固

本文目录导读：

1. 输入验证与过滤（最关键）
2. 文件操作安全
3. 会话安全
4. PHP配置加固（php.ini）
5. 常见攻击防护
6. 框架与工具
7. 持续安全措施
8. 检查清单

PHP代码安全加固需要从多个层面系统性地进行,以下是核心的加固措施和最佳实践：

输入验证与过滤（最关键）

严格验证所有用户输入

// 好的做法：严格类型验证
$id = (int)$_GET['id']; // 强制转为整数
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    // 处理无效邮箱
}
// 使用白名单验证
$allowed_roles = ['admin', 'user', 'guest'];
if (!in_array($role, $allowed_roles)) {
    die('Invalid role');
}

防止SQL注入

// 始终使用参数化查询
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$email]);
// 或使用ORM（如Eloquent/Doctrine）
$user = User::where('email', $email)->first();

防止XSS攻击

// 输出时进行转义
echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');
// 使用模板引擎（如Twig）自动转义
echo $twig->render('profile.html', ['name' => $name]);

文件操作安全

文件上传防护

// 验证文件类型
$allowed_types = ['image/jpeg', 'image/png'];
if (!in_array($_FILES['file']['type'], $allowed_types)) {
    die('Invalid file type');
}
// 重命名文件，防止路径遍历
$new_name = md5(uniqid()) . '.' . $ext;
$upload_path = '/uploads/' . $new_name;

文件包含防护

// 禁用远程文件包含
// php.ini: allow_url_include = Off
// 使用白名单
$allowed_pages = ['home', 'about', 'contact'];
$page = basename($_GET['page']); // 防止路径遍历
if (in_array($page, $allowed_pages)) {
    include "pages/{$page}.php";
}

会话安全

配置会话安全

// session_start()前配置
ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 1); // HTTPS下
ini_set('session.use_only_cookies', 1);
ini_set('session.cookie_samesite', 'Strict');
// 重新生成session ID
session_regenerate_id(true);

防CSRF攻击

// 生成Token
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
// 验证表单
if (hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
    // 处理请求
}

PHP配置加固（php.ini）

; 基本安全设置
expose_php = Off
display_errors = Off
log_errors = On
error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT
; 禁用危险函数
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
; 资源限制
max_execution_time = 30
memory_limit = 128M
post_max_size = 8M
upload_max_filesize = 2M
; 文件上传安全
file_uploads = On
upload_tmp_dir = /tmp/php_uploads

常见攻击防护

命令注入防护

// 避免使用shell命令，必须使用时用escapeshellarg
$command = 'ls -la ' . escapeshellarg($user_dir);
$output = shell_exec($command);

SSRF防护

// 限制URL访问
function is_safe_url($url) {
    $parsed = parse_url($url);
    $blocked = ['10.', '172.', '192.168.', '127.0.0.1', 'localhost'];
    foreach ($blocked as $ip) {
        if (strpos($parsed['host'], $ip) === 0) return false;
    }
    return true;
}

框架与工具

使用成熟框架

• Laravel：内置CSRF、XSS、SQL注入防护
• Symfony：安全组件完善
• Yii：安全特性丰富

安全工具

# 安装依赖安全检查工具
composer require --dev enlightn/security-checker
# 定期扫描
php vendor/bin/security-checker security:check

持续安全措施

1. 定期更新：保持PHP版本和依赖库更新
2. 日志监控：配置详细的访问和错误日志
3. 安全测试：使用OWASP ZAP等工具进行渗透测试
4. 代码审计：使用PHPStan、Psalm进行静态分析

检查清单

• [ ] 所有用户输入已验证和过滤
• [ ] 使用参数化查询或ORM
• [ ] 输出时进行HTML转义
• [ ] 文件上传已限制类型和大小
• [ ] 会话配置安全
• [ ] 禁用危险PHP函数
• [ ] HTTPS强制使用
• [ ] 错误处理不泄露敏感信息
• [ ] 依赖库已更新至最新版本

安全是一个持续的过程,需要定期审查和更新安全策略，建议结合自动化安全测试工具和手动代码审查来确保安全性。