常量中是否存在敏感信息风险？

M66 2025-05-24

在PHP中，get_defined_constants() 是一个用于获取所有已定义常量（包括用户自定义和PHP系统预定义常量）及其对应值的函数。这个函数在调试、配置检查或开发调试工具时非常有用，但如果使用不当，也可能引发安全隐患，特别是在涉及敏感信息的场景中。

函数简介

get_defined_constants([bool $categorize = false]): array
这个函数会返回当前脚本中所有定义的常量。当参数 $categorize 设置为 true 时，返回的数组会按模块分类，便于识别各类常量的来源。

例如：

$constants = get_defined_constants();
print_r($constants);

这段代码会输出所有定义过的常量及其值，包括诸如 E_ERROR, PHP_VERSION, 以及用户通过 define() 或 const 定义的常量。

潜在的敏感信息风险

虽然系统预定义常量大多数是无害的，但用户定义的常量中可能包含敏感信息，例如数据库凭据、API密钥、路径信息等。例如：

define('DB_PASSWORD', 'SuperSecretPassword123');
define('API_KEY', 'sk_live_abc123xyz789');

如果在调试工具或日志系统中直接输出 get_defined_constants() 的返回结果，并将其暴露给外部用户，敏感信息就有可能被泄露。这在多用户环境下或调试工具部署在线上环境时尤为危险。

特别是在一些调试页面或错误处理系统中，开发人员可能习惯性地输出全局状态以便分析问题，例如：

echo '<pre>';
print_r(get_defined_constants());
echo '</pre>';

如果此类输出未加权限限制，攻击者可以通过访问该页面获取包含敏感数据的常量内容。

真实案例分析

假设某个PHP调试工具（如自定义错误显示器）部署在 https://debug.m66.net/debug.php，且其中包含如下代码：

if ($_GET['debug'] === '1') {
    echo '<pre>';
    print_r(get_defined_constants());
    echo '</pre>';
}

一旦调试开关被启用，页面将会输出所有常量信息。如果某些常量包含如下内容：

define('PAYMENT_GATEWAY_SECRET', 'sk_test_abc123');
define('AWS_SECRET_ACCESS_KEY', 'wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY');

攻击者即可轻松读取这些信息，造成严重安全后果。

风险缓解建议

为了防止敏感信息泄露，建议在使用 get_defined_constants() 时遵循以下最佳实践：

避免在生产环境输出所有常量。仅在本地或受信任的开发环境中使用此函数。
敏感信息分类管理。将敏感配置放在独立的配置文件中，并确保该文件未定义为常量，而是作为变量存储于内存中。
访问控制。所有包含调试信息的接口必须进行身份验证，禁止公开访问。
条件过滤输出。输出前检查常量名，例如排除包含 SECRET、KEY、PASSWORD 等敏感关键字的常量：

$constants = get_defined_constants();
foreach ($constants as $name => $value) {
    if (preg_match('/(SECRET|KEY|PASSWORD)/i', $name)) {
        continue;
    }
    echo "$name => $value\n";
}

日志脱敏。若将常量信息写入日志系统，务必在写入前进行脱敏处理。

总结

get_defined_constants() 是一个强大的函数，但“能力越大，责任越大”。开发者在使用它时，必须充分考虑潜在的安全隐患，尤其是在涉及敏感信息的上下文中。通过良好的访问控制、输出过滤以及环境隔离，可以有效降低使用该函数时带来的风险，保障应用的整体安全性。