PHP 函数安全性提升指南：防护 SQL 注入与 XSS 攻击

M66 2025-10-20

PHP 函数安全性改进方向

在 PHP 开发中，确保函数的安全性至关重要。本文将介绍一些关键的改进措施，帮助开发者编写更安全、可靠的 PHP 代码。

使用类型提示

类型提示可以确保传入函数的参数类型正确，从而防止意外数据类型导致的错误，并减少潜在的安全风险。

function add($a, $b): int
{
    return $a + $b;
}

// 会引发 TypeError 异常
add('1', 2);

消除 SQL 注入漏洞

SQL 注入是常见的安全问题，攻击者可能通过注入恶意 SQL 语句获取敏感数据。使用参数化查询可以有效防止 SQL 注入。

$statement = $conn->prepare("SELECT * FROM users WHERE username = ?");
$statement->bind_param("s", $username);

防止跨站脚本 (XSS) 攻击

XSS 攻击通常通过向网页注入恶意脚本执行。使用 HTML 编码可以安全地输出用户数据，避免脚本被执行。

function echoHtml($html)
{
    echo htmlspecialchars($html);
}

验证用户输入

用户输入可能包含恶意代码或其他攻击载体。在使用之前应进行严格验证，以防止非法数据进入系统。

if (!preg_match('/^[a-zA-Z0-9]+$/', $input)) {
    throw new InvalidArgumentException();
}

使用安全库

PHP 提供了多种安全库，如 PasswordHash、Crypto 等，可用于安全生成哈希值、加密和解密敏感数据。

$hash = password_hash($password, PASSWORD_DEFAULT);

实战案例：增强函数安全性

假设有一个处理用户输入并生成 SQL 语句的函数：

function generateSql($id)
{
    return "SELECT * FROM users WHERE id = $id";
}

为了提高安全性，可以做以下改进：

使用类型提示确保 $id 为整数
使用参数化查询防止 SQL 注入

function generateSql($id): string
{
    $statement = $conn->prepare("SELECT * FROM users WHERE id = ?");
    $statement->bind_param("i", $id);
    
    return $statement;
}

通过这些措施，PHP 函数的安全性可以显著提升，降低应用程序被攻击的风险。