PHP數據過濾與安全實踐：有效防範SQL注入與XSS攻擊

M66 2025-06-07

PHP數據過濾：從用戶輸入到數據庫安全

概述：
在Web開發中，確保用戶輸入數據的安全性至關重要。未經過濾和驗證的輸入可能導致SQL注入、跨站腳本攻擊（XSS）等安全風險。本文將介紹如何使用PHP進行數據過濾和驗證，保障從用戶輸入到數據庫存儲的全過程安全。

輸入過濾

用戶提交的數據不可信，必須先進行過濾。常見的輸入過濾技術包括：

（1）HTML轉義

為防止XSS攻擊，應對用戶輸入中的HTML標籤進行轉義。 PHP內置函數htmlspecialchars()可以實現此功能。

 $input = $_POST['input'];
$filteredInput = htmlspecialchars($input);

（2）去除多餘空格

使用trim()函數去除輸入數據兩端的空格，有助於避免意外空格導致的問題。

 $input = $_POST['input'];
$filteredInput = trim($input);

（3）過濾特殊字符

為了避免輸入中包含的特殊字符引起代碼執行問題，可以用filter_var()函數結合FILTER_SANITIZE_STRING過濾器進行過濾。

 $input = $_POST['input'];
$filteredInput = filter_var($input, FILTER_SANITIZE_STRING);

驗證數據

除了過濾外，還需驗證輸入數據的合法性。常用驗證方式如下：

（1）驗證Email

使用filter_var()配合FILTER_VALIDATE_EMAIL驗證郵箱地址格式。

 $email = $_POST['email'];
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
    // 郵箱地址合法
} else {
    // 郵箱地址非法
}

（2）驗證URL

同樣使用filter_var()配合FILTER_VALIDATE_URL來驗證URL格式。

 $url = $_POST['url'];
if (filter_var($url, FILTER_VALIDATE_URL)) {
    // URL合法
} else {
    // URL非法
}

（3）驗證數字

利用is_numeric()函數檢查輸入是否為數字。

 $number = $_POST['number'];
if (is_numeric($number)) {
    // 輸入為數字
} else {
    // 輸入非數字
}

數據庫安全

將用戶數據寫入數據庫前，需要進一步處理以保障安全。

（1）使用預處理語句

通過佔位符傳遞參數的預處理語句有效防止SQL注入。 PHP的PDO或mysqli擴展均支持該機制。

 $db = new PDO('mysql:host=localhost;dbname=test', 'username', 'password');
$stmt = $db->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->bindParam(1, $name);
$stmt->bindParam(2, $email);
$name = $_POST['name'];
$email = $_POST['email'];
$stmt->execute();

（2）使用密碼哈希

存儲用戶密碼時，避免明文保存，應使用password_hash()進行哈希處理。

 $password = $_POST['password'];
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);

總結

數據安全是Web開發的核心環節。通過合理的輸入過濾、驗證及數據庫安全措施，可以有效提升應用防護能力，避免潛在安全風險。建議結合具體項目需求，靈活運用這些技術，確保用戶數據安全無虞。