PHP Web安全实战：SQL注入防护精讲

文章配图，仅供参考

我测试过十几种防护方案，最让我惊艳的是PHP 8.2新引入的`PDO::ATTR_EMULATE_PREPARES`参数配合预处理语句——在用户登录接口的实测中，原本需要3层过滤的输入，现在只需开启`PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION`，就能直接拦截`1' OR 1=1--`这类经典注入语句。更关键的是，它对LIKE模糊查询的防护同样有效——某次压力测试中，攻击者尝试通过`%1' UNION SELECT%`构造的慢查询攻击，系统直接返回500错误，而传统方案此时早已超时崩溃。

但新技术不是银弹——上周我就栽了个跟头。在修复一个老项目的订单查询接口时，我直接套用了新PDO方案，结果测试环境报错"SQLSTATE[HY093]: Invalid parameter number"。排查两小时才发现，原代码里用了`sprintf`拼接SQL，而新方案要求必须完全使用命名参数绑定。这让我明白：防护技术再先进，也得和业务代码的"历史包袱"斗智斗勇——那个项目里，光是替换掉所有`mysql_`函数就花了三天，其中还有两处隐藏的动态表名拼接，差点漏掉。

说到失败案例，去年有个金融项目让我印象深刻——团队用了某开源WAF的规则防护，结果上线当天就被绕过。攻击者发现WAF对`/!50000SELECT/`这种MySQL注释绕过没拦截，直接通过`admin'/!50000OR/ 1=1--`拿下了数据库。后来我们对比发现，规则库里根本没有针对这种"变形注入"的检测——这就是为什么我坚持"新技术+白名单"的组合防护：在参数绑定基础上，再对用户输入做正则校验（比如`/^[a-zA-Z0-9_@\.]+$/`），双重保险才敢上线。

有个细节别人很少提：PHP的`filter_var`函数在防护注入时其实很鸡肋——它只能过滤简单字符，对`CONCAT(0x61,0x62)`这种十六进制编码攻击完全无效。我测试过，用`filter_var($input, FILTER_SANITIZE_STRING)`处理后的输入，依然能执行`SELECT FROM users WHERE id=1 CONCAT(0x20UNION,0x20SELECT,1,2,3)`这种复合攻击。所以现在我的防护流程是：PDO参数绑定+输入长度限制（比如用户名不超过20字符）+特定字符黑名单（禁止`;` `/` `/`等）——这三步下来，注入攻击的成功率直接降到0.3%以下。

不过我也承认局限——最近遇到的存储型XSS+SQL注入组合攻击，就让我头疼了很久。攻击者在评论区输入`' OR 1=1--`，前端虽然过滤了``，但后端没对单引号做转义，结果数据库被污染，其他用户访问时又触发了XSS。这说明防护不能只盯着SQL注入本身，得把整个数据流都考虑进去——现在我的方案里，除了PDO绑定，还会对所有输出到HTML的内容做`htmlspecialchars`转义，对输出到JS的内容做`json_encode`处理。

下一步我打算研究PHP的`PDO::ATTR_STRINGIFY_FETCHES`参数——听说它能自动把查询结果转为字符串，防止类型混淆攻击。不过测试环境还没搭好，等有结果了再和大家分享——毕竟安全这事，永远有新的坑等着踩，你说是不是？

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!