PHP 开发必须注意的安全问题

PHP 开发最容易出安全问题，几个常见坑一定要避开。

1. SQL 注入

最常见的安全漏洞。用户输入拼接到 SQL 里，被注入恶意 SQL。

解决方案：用预处理语句

// 不要这样
$sql = "SELECT * FROM users WHERE id = " . $_GET['id'];

// 要这样
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);

2. XSS 跨站脚本

用户输入直接输出到页面，被注入恶意 JS。

解决方案：输出时转义

echo htmlspecialchars($user_input);

3. CSRF 跨站请求伪造

别人伪造你的请求操作。

解决方案：加 Token 验证

// 表单里加 Token
<input type="hidden" name="csrf_token" value="<?php echo $_SESSION['token']; ?>">

// 后端验证
if ($_POST['csrf_token'] !== $_SESSION['token']) {
    die('CSRF 攻击');
}

4. 文件上传漏洞

用户上传 PHP 文件，直接拿到 webshell。

解决方案：

• 限制文件类型
• 重命名文件
• 上传目录不执行 PHP

5. 密码明文存储

数据库被拖库，密码全泄露。

解决方案：用 password_hash

$hash = password_hash($password, PASSWORD_DEFAULT);

// 验证
password_verify($password, $hash);

6. 错误信息泄露

生产环境把报错直接展示给用户，暴露路径和代码。

解决方案：关闭 display_errors

display_errors = Off
log_errors = On

总结

PHP 安全的核心：用户输入都不可信，所有输出都要转义，数据库操作用预处理。安全开发意识比工具更重要。