答案：保障PHP安全需防范SQL注入、XSS、CSRF等漏洞。具体措施包括：使用预处理语句防御SQL注入；输出时用htmlspecialchars编码并设置CSP头防御XSS；为表单添加CSRF令牌；严格验证过滤输入；禁用危险函数；限制文件上传权限并重命名文件；定期更新与代码审计。
PHP作为广泛使用的服务器端脚本语言，在Web开发中占据重要地位。但因其灵活性和对初学者的友好性，也容易因使用不当引入安全风险。保障PHP代码安全需要从常见漏洞入手，结合编码规范与审计手段，构建多层次防护体系。
防止SQL注入攻击
SQL注入是最危险且常见的Web漏洞之一，攻击者通过构造恶意输入操控数据库查询。
- 使用预处理语句（Prepared Statements）配合PDO或MySQLi，避免拼接SQL字符串
- 示例：用PDO绑定参数代替直接拼接
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$username]);
- 严格过滤和验证用户输入，禁用如
mysql_query()等已废弃的函数 - 最小权限原则：数据库账户不使用root权限，限制表操作范围
防御跨站脚本（XSS）
XSS允许攻击者在用户浏览器执行恶意脚本，窃取会话或伪造操作。
- 输出时转义HTML特殊字符，使用
htmlspecialchars()处理所有动态内容 - 设置HTTP头部增强防护，如Content Security Policy（CSP）
- 对富文本输入采用白名单过滤，推荐使用HTML Purifier类库
- 设置Cookie为HttpOnly，防止JavaScript访问敏感Cookie
避免文件包含漏洞
不当地使用include或require可能导致远程文件包含（RFI）或本地文件包含（LFI）。
立即学习“PHP免费学习笔记（深入）”；
- 禁止动态包含用户可控的文件路径
- 配置php.ini关闭
allow_url_include - 使用固定映射或白名单机制控制可包含文件
- 敏感文件存放于Web根目录之外
加强身份验证与会话管理
弱认证机制易导致越权访问或会话劫持。
- 密码存储必须使用
password_hash()和password_verify() - 定期更换会话ID，登录后调用
session_regenerate_id(true) - 验证用户IP或User-Agent变化，异常时强制重新登录
- 设置合理的Session过期时间
文件上传安全控制
文件上传功能若无限制，可能被用来上传Web Shell。
- 检查MIME类型和文件扩展名，使用白名单而非黑名单
- 重命名上传文件，避免原始文件名直接暴露
- 将上传目录设置为不可执行PHP脚本（如通过.htaccess禁止执行）
- 使用
getimagesize()验证图片真实性
代码审计要点
定期进行代码审计能提前发现潜在风险。
- 搜索危险函数：
eval()、system()、exec()、passthru()、shell_exec() - 检查变量是否未经过滤进入SQL、命令执行或文件操作
- 确认错误信息未泄露敏感路径或配置（线上环境关闭
display_errors） - 使用静态分析工具如PHPStan、RIPS辅助扫描
基本上就这些。安全不是一次性任务，而是贯穿开发、测试、部署全过程的习惯。只要坚持输入过滤、输出编码、权限最小化和持续审计，大多数PHP安全问题都能有效规避。
