硬核PHP教程：从入门到防注入实战

AI生成3D模型，仅供参考

　　变量不用声明？错。现代PHP强制类型提示和严格模式是防错第一道闸门。在文件顶部加上 declare(strict_types=1);，让函数调用时参数类型错误直接报错，而非静默转换。比如 int $id = '123'; 会抛出TypeError，而不是悄悄变成整数123——这能避免因类型混淆引发的逻辑漏洞。

　　数据库交互必须绕过拼接SQL。PDO预处理不是可选项，是唯一合法路径。$stmt = $pdo->prepare("SELECT FROM users WHERE username = ? AND status = ?"); $stmt->execute([$user, $active]); 占位符?由驱动层原生转义，攻击者输入 admin' OR '1'='1 也只被当作文本值，绝不会触发SQL执行。

　　$_GET、$_POST、$_COOKIE 都是不可信源头。即使只取一个ID，也要校验：$id = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT); if ($id === false) { http_response_code(400); exit('Invalid ID'); }。filter_input 自带过滤链，比手动intval()更可靠，且支持自定义回调验证器。

　　输出到HTML前必须转义。echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8'); 不仅转义&，还处理双引号与单引号，防XSS。若需渲染富文本，别自己写白名单过滤器——用HTMLPurifier这类经审计的库，它能识别CSS expression、JavaScript伪协议等隐蔽载体。

　　密码永远不用md5或sha1。password_hash() 生成bcrypt哈希（自动加盐、调优轮数），验证只用 password_verify()。哈希值包含算法、盐、轮数参数，下次升级算法也不需重刷全库——旧哈希仍可验证，新注册用户则用新版。

　　文件上传是高危操作。检查 $_FILES['file']['error'] 是否为UPLOAD_ERR_OK；用 finfo_file() 检测真实MIME类型（而非$_FILES['type']）；重命名文件为UUID+固定后缀（如 .jpg），存到非Web可访问目录；绝不使用 extract($_POST) 或 require($_GET['page'])——动态文件名和变量注入是RCE温床。

　　session安全不能靠默认配置。启动时立刻调用 session_set_cookie_params([ 'secure' => true, 'httponly' => true, 'samesite' => 'Lax' ]); 强制HTTPS传输、禁JS读取、限制跨站提交。登录成功后务必 regenrate_session_id(true)，阻断会话定置攻击。

　　⭐️⭐️⭐️⭐️把php.ini里的 display_errors 设为Off，log_errors 设为On。错误信息绝不出现在页面上——它们可能泄露路径、类名、插件版本，成为攻击者的地图。真正的硬核，不在炫技，而在每行代码都带着防御意识生长。

（编辑：开发网_新乡站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!