PHP 安全加固实战：SQL 注入、XSS、CSRF 与 OWASP 全清单

// 致命反例：字符串拼接
$sql = "SELECT * FROM users WHERE id = " . $_GET['id'];
// 输入：1 OR 1=1  → 全表泄露

// 输入：1; DROP TABLE users; --  → 删表

$stmt = $pdo->prepare('SELECT * FROM users WHERE id = ?');
$stmt->execute([$_GET['id']]);   // 参数作为数据，不参与 SQL 解析

// 白名单校验
$allowed = ['id', 'name', 'email'];
if (!in_array($orderBy, $allowed, true)) { $orderBy = 'id'; }

// 强制类型（数字型字段）
$id = (int) $_GET['id'];

// 致命反例：未转义输出
echo "你好，{$_GET['name']}";
// 输入：<script>alert(document.cookie)</script>

// 输出到 HTML 上下文 → htmlspecialchars 转义
echo '你好，' . htmlspecialchars($name, ENT_QUOTES, 'UTF-8');

// 输出到 JavaScript 上下文 → 用 json_encode 而非拼接
echo '<script>const name = ' . json_encode($name, JSON_HEX_TAG | JSON_HEX_AMP) . ';</script>';

<!-- 攻击站点上的 img -->
<img src="https://bank.com/transfer?to=hacker&amount=1000">

// 生成并校验（Laravel 已内置）
// 视图
<form method="POST">
  @csrf
  <input name="amount">
</form>

// 请求校验（中间件 VerifyCsrfToken）
// 非表单请求：X-CSRF-TOKEN 头

// 会话 Cookie 配置（php.ini 或 session_set_cookie_params）
session_set_cookie_params([
    'httponly' => true,      // JS 读不到 Cookie（防 XSS 偷）
    'secure'   => true,      // 仅 HTTPS 传输
    'samesite' => 'Lax',     // 防跨站携带
]);

// 登录成功后必须重新生成 SID（防固定攻击）
session_regenerate_id(true);

// 超时与最大生命周期
ini_set('session.gc_maxlifetime', 1800);

// 危险反例
move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/' . $_FILES['file']['name']);

// 正确：白名单扩展名 + 随机名 + 非执行目录
$allowed = ['jpg', 'png', 'gif', 'webp'];
$ext = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));
if (!in_array($ext, $allowed, true)) {
    throw new RuntimeException('不支持的文件类型');
}
$newName = bin2hex(random_bytes(16)) . '.' . $ext;   // 随机名
move_uploaded_file($tmp, storage_path('uploads/' . $newName));  // 放 web 目录外

// 危险：curl 直接请求用户给的 URL → 可访问 127.0.0.1 内部服务
$res = file_get_contents($_GET['url']);

// 防护：白名单域名 + 禁止内网地址
$allowed = ['https://api.example.com', 'https://cdn.example.com'];
if (!in_array(parse_url($url, PHP_URL_HOST), $allowed, true)) {
    throw new RuntimeException('URL 不在白名单');
}
// 或解析后验证 IP 不是内网段

// 1. 密钥不进代码/仓库
// .env 加入 .gitignore，CI 用环境变量注入

// 2. 敏感数据脱敏
$logger->info('用户注册', ['email' => maskEmail($email)]);   // a***@x.com

// 3. 密码哈希（绝不 MD5/SHA 裸存）
$hash = password_hash($raw, PASSWORD_BCRYPT, ['cost' => 12]);
password_verify($input, $hash);

// 4. 传输加密
// 全站 HTTPS + HSTS 头

// 5. 最小权限
// 数据库账号只给需要的库/表权限

// 示例：授权（Policy）——资源级访问控制
class OrderPolicy {
    public function view(User $user, Order $order): bool {
        return $user->id === $order->user_id;
    }
}