# PHP 安全模式 ## 简介安全性在 PHP 应用程序中至关重要，因为它们经常处理敏感的用户数据、身份验证和财务交易。如果不遵循安全最佳实践，PHP 的灵活性和动态特性就会为漏洞创造机会。常见的 PHP 安全漏洞包括 SQL 注入、跨站脚本 (XSS)、跨站请求伪造 (CSRF)、不安全的密码存储、会话劫持和文件包含攻击。每一种情况都可能导致数据泄露、未经授权的访问或整个系统受到损害。该技能涵盖输入验证和清理、SQL 注入预防、XSS 保护、CSRF 防御、安全密码处理、会话安全、文件上传安全和深度防御策略。 ## 输入验证和清理输入验证可确保数据在处理前符合预期格式，而清理可删除或编码潜在危险的内容。 [ 'min_range' => $min, 'max_range' => $max, ], ]); 返回 $int !== false ? $int：空； } // 字符串清理函数 sanitizeString(string $input): string { // 删除空字节和控制字符 $sanitized = str_replace("\0", '', $input); $sanitized = preg_replace('/[\x00-\x1F\x7F]/u', '', $sanitized); 返回修剪（$sanitized）； } // HTML 清理（输出编码）函数 sanitizeHtml(string $input): string { 返回 htmlspecialchars($input, ENT_QUOTES | ENT_HTML5, 'UTF-8'); } // 用法示例类用户注册{ 私有数组 $errors = []; 公共函数验证（数组$数据）：bool { // 验证邮箱 if (!isset($data['email']) || !validateEmail($data['email'])) { $this->errors[] = '无效的电子邮件地址'; } // 验证年龄 $age = validateInt($data['age'] ?? null, 13, 120); 如果（$年龄===空）{ $this->errors[] = '年龄必须在 13 到 120 之间'; } // 验证用户名（字母数字，3-20 个字符） $username = sanitizeString($data['username'] ?? ''); if (!preg_match('/^[a-zA-Z0-9_]{3,20}$/', $用户名)) { $this->errors[] = '用户名必须是 3-20 个字母数字字符'; } // 验证密码强度 if (!$this->validatePassword($data['password'] ?? '')) { $this->errors[] = '密码必须至少有 8 个字符' . “混合大小写和数字”； } 返回空($this->错误); } 私有函数 validatePassword(string $password): bool { 返回 strlen($password) >= 8 && preg_match('/[A-Z]/', $password) && preg_match('/[a-z]/', $password) && preg_match('/[0-9]/', $password); } 公共函数 getErrors(): 数组 { 返回$this->错误； } } // 枚举的白名单验证函数 validateStatus(string $status): ?string { $allowed = ['待处理', '已批准', '已拒绝']; 返回 in_array($status, $allowed, true) ？ $状态：空； } // 复杂的数据验证函数 validateUserData(数组 $data): 数组 { $验证= []; // 必填字段 $validated['email'] = validateEmail($data['email'] ?? '') ？ $数据['电子邮件'] : throw new InvalidArgumentException('无效的电子邮件'); // 带默认值的可选字段 $validated['age'] = validateInt($data['age'] ?? 0, 0, 150) ?? 18; $validated['name'] = sanitizeString($data['name'] ?? ''); // 嵌套验证 if (isset($data['地址'])) { $validated['地址'] = [ '街道' => sanitizeString($data['地址']['街道'] ?? ''), '城市' => sanitizeString($data['地址']['城市'] ?? ''), 'zip' => preg_match('/^\d{5}$/', $data['地址']['zip'] ?? '') ？ $data['地址']['zip'] ：无效的， ]; } 返回$已验证； } 始终在应用程序边界验证输入并在输出之前进行清理，以防止注入攻击。 ## SQL注入预防当用户输入直接插入到 SQL 查询中时，就会发生 SQL 注入，从而允许攻击者操纵查询。查询($sql); 返回$结果？ $结果->fetch(PDO::FETCH_ASSOC) : null; } // SAFE：使用 PDO 准备的语句函数 findUserSafe(PDO $pdo, string $email): ?array { $stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email'); $stmt->execute(['email' => $email]); $结果 = $stmt->fetch(PDO::FETCH_ASSOC); 返回 $结果 !== false ? $结果：空； } // 安全：位置参数函数 findUserById(PDO $pdo, int $id): ?array { $stmt = $pdo->prepare('SELECT * FROM users WHERE id = ?'); $stmt->执行([$id]); $结果 = $stmt->fetch(PDO::FETCH_ASSOC); 返回 $结果 !== false ? $结果：空； } // 安全：多个参数函数 findUsersByStatus(PDO $pdo, string $status, int $limit): array { $stmt = $pdo->准备( '从用户中选择 * WHERE status = :status LIMIT :limit' ）； $stmt->bindValue(':status', $status, PDO::PARAM_STR); $stmt->bindValue(':limit', $limit, PDO::PARAM_INT); $stmt->execute(); 返回 $stmt->fetchAll(PDO::FETCH_ASSOC); } // 安全：带占位符的 IN 子句函数 findUsersByIds(PDO $pdo, 数组 $ids): 数组 { // 验证所有ID都是整数 $ids = array_filter($ids, 'is_int'); 如果（空（$ids））{ 返回[]； } // 创建占位符：?,?,? $placeholders = implode(',', array_fill(0, count($ids), '?')); $sql = "SELECT * FROM users WHERE id IN ($placeholders)"; $stmt = $pdo->准备($sql); $stmt->执行($ids); 返回 $stmt->fetchAll(PDO::FETCH_ASSOC); } // 带有准备好的语句的存储库模式类 UserRepository { 公共函数 __construct( 私人 PDO $pdo ）{} 公共函数 find(int $id): ?array { $stmt = $this->pdo->prepare('SELECT * FROM users WHERE id = ?'); $stmt->执行([$id]); $结果 = $stmt->fetch(PDO::FETCH_ASSOC); 返回 $结果 !== false ? $结果：空； } 公共函数创建（数组$数据）：int { $stmt = $this->pdo->prepare( '插入用户（姓名、电子邮件、密码哈希）值 (?, ?, ?)' ）； $stmt->执行([ $数据['名称'], $数据['电子邮件'], $data['password_hash'], ]); return (int) $this->pdo->lastInsertId(); } 公共函数更新（int $id，数组$data）：bool { $stmt = $this->pdo->prepare( '更新用户设置名称=？，电子邮件=？哪里 id = ?' ）；返回 $stmt->执行([ $数据['名称'], $数据['电子邮件'], $id, ]); } 公共函数删除(int $id): bool { $stmt = $this->pdo->prepare('从用户中删除 id = ?'); 返回 $stmt->execute([$id]); } 公共函数搜索（字符串$query，int $limit = 10）：数组{ $stmt = $this->pdo->prepare( '从用户中选择 * 名称类似？或者发邮件给我？限制？）； $pattern = "%$查询%"; $stmt->bindValue(1, $pattern, PDO::PARAM_STR); $stmt->bindValue(2, $pattern, PDO::PARAM_STR); $stmt->bindValue(3, $limit, PDO::PARAM_INT); $stmt->execute(); 返回 $stmt->fetchAll(PDO::FETCH_ASSOC); } } // 带参数化的查询生成器类查询生成器{ 私有数组 $where = []; 私有数组 $params = []; 公共函数where（字符串$列，混合$值）：self { $占位符 = ':param' 。计数（$这个->参数）； $this->where[] = "$column = $placeholder"; $this->params[$placeholder] = $value; 返回$这个； } 公共函数执行（PDO $pdo）：数组{ $sql = '从用户中选择*'; if (!empty($this->where)) { $sql .= ' 哪里 ' 。内爆(' AND ', $this->where); } $stmt = $pdo->准备($sql); $stmt->执行($this->params); 返回 $stmt->fetchAll(PDO::FETCH_ASSOC); } } 始终使用带参数绑定的准备好的语句 - 切勿将用户输入连接到 SQL 查询中。 ## 跨站脚本 (XSS) 预防 XSS 攻击将恶意脚本注入其他用户查看的网页中。正确的输出编码可以防止脚本执行。数据[$key] = $value; } 公共函数渲染（字符串$模板）：字符串{ // 提取并转义所有变量提取（array_map（函数（$值）{ if (is_string($value)) { 返回 escapeHtml($value); } 返回$值； }, $this->数据)); ob_start(); 包括$模板；返回 ob_get_clean(); } 公共函数 raw(string $key): string { // 对于受信任的 HTML - 谨慎使用返回 $this->data[$key] ?? ''; } } // 模板使用示例类评论显示{ 公共函数 renderComment(array $comment): string { $author = escapeHtml($comment['author']); $text = escapeHtml($comment['text']); $timestamp = escapeHtml($comment['timestamp']); 返回<<

{$author}

{$text}

{$timestamp}

HTML； } 公共函数 renderCommentWithLink(array $comment): string { $author = escapeHtml($comment['author']); $text = escapeHtml($comment['text']); $url = escapeAttr($comment['url'] ?? '#'); 返回<< {$作者}

{$文本}

HTML； } } // 内容安全策略助手类 CspBuilder { 私有数组$directives = []; 公共函数 defaultSrc(string ...$sources): self { $this->directives['default-src'] = $sources; 返回$这个； } 公共函数 scriptSrc(string ...$sources): self { $this->directives['script-src'] = $sources; 返回$这个； } 公共函数 styleSrc(string ...$sources): self { $this->directives['style-src'] = $sources; 返回$这个； } 公共函数 imgSrc(string ...$sources): self { $this->directives['img-src'] = $sources; 返回$这个； } 公共函数构建（）：字符串{ $零件= []; foreach ($this->directives as $directive => $sources) { $parts[] = $directive 。 ''。内爆(' ', $sources); } 返回内爆('; ', $parts); } 公共函数 sendHeader(): void { header('内容安全策略：' . $this->build()); } } // 用法 $csp = new CspBuilder(); $csp->defaultSrc("'self'") ->scriptSrc("'self'", "'不安全内联'") ->styleSrc("'self'", 'https://fonts.googleapis.com') ->imgSrc("'self'", '数据:', 'https:') ->sendHeader(); // 使用 HTML Purifier 模式进行富文本清理类 HtmlSanitizer { 私有数组 $allowedTags = ['p', 'br', 'strong', 'em', 'a', 'ul', 'ol', 'li']; 私有数组 $allowedAttributes = ['a' => ['href', 'title']]; 公共函数 sanitize(string $html): string { // 去除除允许之外的所有标签 $html = strip_tags($html, $this->allowedTags); // 解析和清理属性 $dom = new DOMDocument(); @$dom->loadHTML('' . $html, LIBXML_HTML_NOIMPLIED | LIBXML_HTML_NOIMPLIED | LIBXML_HTML_NODEFDTD); $xpath = 新 DOMXPath($dom); // 移除危险属性 foreach ($xpath->query('//@*') as $attr) { $tagName = $attr->ownerElement->tagName; $attrName = $attr->名称; if (!isset($this->allowedAttributes[$tagName]) || !in_array($attrName, $this->allowedAttributes[$tagName])) { $attr->ownerElement->removeAttribute($attrName); } // 验证href属性 if ($attrName === 'href') { $href = $attr->值； if (!preg_match('/^https?:\/\//', $href)) { $attr->ownerElement->removeAttribute($attrName); } } } 返回 $dom->saveHTML(); } } 始终根据上下文（HTML、JavaScript、URL、属性）转义输出并实施内容安全策略标头。 ## 跨站点请求伪造 (CSRF) 预防 CSRF 攻击诱骗经过身份验证的用户执行不需要的操作。令牌验证可防止未经授权的状态更改请求。 sessionKey])) { $_SESSION[$this->sessionKey] = []; } $_SESSION[$this->sessionKey][$action] = [ '令牌' => $令牌， 'expires' => time() + 3600, // 1 小时 ]; 返回$令牌； } 公共函数 validateToken(字符串 $token, 字符串 $action = '默认'): bool { if (!isset($_SESSION[$this->sessionKey][$action])) { 返回假； } $stored = $_SESSION[$this->sessionKey][$action]; // 检查过期时间 if ($stored['expires'] < time()) { 取消设置($_SESSION[$this->sessionKey][$action]); 返回假； } // 恒定时间比较 $valid = hash_equals($stored['token'], $token); // 一次性令牌 - 使用后删除如果（$有效）{ 取消设置($_SESSION[$this->sessionKey][$action]); } 返回$有效； } 公共函数 getTokenInput(string $action = 'default'): string { $token = $this->generateToken($action); $name = escapeAttr(self::TOKEN_NAME); $value = escapeAttr($token); return "<输入类型=\"隐藏\" name=\"{$name}\" value=\"{$value}\">"; } 公共函数 validateRequest(数组 $data, 字符串 $action = '默认'): bool { $token = $data[self::TOKEN_NAME] ?? ''; 返回 $this->validateToken($token, $action); } } // 中间件模式类 CsrfMiddleware { 公共函数 __construct( 私有 CsrfProtection $csrf ）{} 公共函数句柄（可调用$next）：混合{ if ($_SERVER['REQUEST_METHOD'] === 'POST') { if (!$this->csrf->validateRequest($_POST)) { http_response_code（403）；抛出新的异常（'CSRF令牌验证失败'）； } } 返回 $next(); } } // 表单中的用法类 FormRenderer { 公共函数 __construct( 私有 CsrfProtection $csrf ）{} 公共函数 renderLoginForm(): 字符串 { $csrfField = $this->csrf->getTokenInput('login'); 返回<< {$csrf字段} <输入类型=“电子邮件”名称=“电子邮件”必需> <输入类型=“密码”名称=“密码”必需> HTML； } 公共函数 renderDeleteForm(int $id): string { $csrfField = $this->csrf->getTokenInput('删除'); 返回<< {$csrf字段}

PHP 安全模式

包含技能