PHP 函數安全性提升指南：防護SQL 注入與XSS 攻擊

M66 2025-10-20

PHP 函數安全性改進方向

在PHP 開發中，確保函數的安全性至關重要。本文將介紹一些關鍵的改進措施，幫助開發者編寫更安全、可靠的PHP 代碼。

使用類型提示

類型提示可以確保傳入函數的參數類型正確，從而防止意外數據類型導致的錯誤，並減少潛在的安全風險。

 function add($a, $b): int
{
    return $a + $b;
}

// 會引發 TypeError 異常
add('1', 2);

消除SQL 注入漏洞

SQL 注入是常見的安全問題，攻擊者可能通過注入惡意SQL 語句獲取敏感數據。使用參數化查詢可以有效防止SQL 注入。

 $statement = $conn->prepare("SELECT * FROM users WHERE username = ?");
$statement->bind_param("s", $username);

防止跨站腳本(XSS) 攻擊

XSS 攻擊通常通過向網頁註入惡意腳本執行。使用HTML 編碼可以安全地輸出用戶數據，避免腳本被執行。

 function echoHtml($html)
{
    echo htmlspecialchars($html);
}

驗證用戶輸入

用戶輸入可能包含惡意代碼或其他攻擊載體。在使用之前應進行嚴格驗證，以防止非法數據進入系統。

 if (!preg_match('/^[a-zA-Z0-9]+$/', $input)) {
    throw new InvalidArgumentException();
}

使用安全庫

PHP 提供了多種安全庫，如PasswordHash、Crypto 等，可用於安全生成哈希值、加密和解密敏感數據。

 $hash = password_hash($password, PASSWORD_DEFAULT);

實戰案例：增強函數安全性

假設有一個處理用戶輸入並生成SQL 語句的函數：

 function generateSql($id)
{
    return "SELECT * FROM users WHERE id = $id";
}

為了提高安全性，可以做以下改進：

使用類型提示確保$id 為整數
使用參數化查詢防止SQL 注入

function generateSql($id): string
{
    $statement = $conn->prepare("SELECT * FROM users WHERE id = ?");
    $statement->bind_param("i", $id);
    
    return $statement;
}

通過這些措施，PHP 函數的安全性可以顯著提升，降低應用程序被攻擊的風險。