PHP进阶：小程序安全加固与防注入实战
|
小程序后端常采用PHP开发，但许多开发者忽视服务端安全防护，仅依赖前端校验或小程序平台的简单限制，导致SQL注入、XSS、敏感信息泄露等风险频发。真正的安全必须从PHP服务端源头加固。
AI绘图,仅供参考 接口参数校验是第一道防线。小程序传入的openId、unionId、商品ID等字段绝不能直接拼接进SQL或HTML输出。应使用filter_var()对数字型参数强制过滤，如filter_var($id, FILTER_VALIDATE_INT)，对字符串使用htmlspecialchars()转义后再输出到前端，同时设置ENT_QUOTES和UTF-8编码避免绕过。所有GET/POST/JSON参数需统一经由白名单验证，拒绝未声明字段。数据库操作必须杜绝拼接式查询。无论是否使用PDO或MySQLi，均须启用预处理语句（Prepared Statements）。例如：$stmt = $pdo->prepare("SELECT FROM orders WHERE user_id = ? AND status = ?"); $stmt->execute([$uid, $status]); 严禁用sprintf或字符串连接构造SQL。若使用ThinkPHP等框架，也需确认其Query类是否默认启用预处理，避免误用where('id='.$id)这类危险写法。 会话与Token管理不可轻视。小程序登录后生成的session_id或自定义token不应存于localStorage（易被XSS窃取），推荐使用HttpOnly Cookie存储，并配合SameSite=Lax、Secure属性。服务端需校验token签名（如JWT需验签+检查exp）、绑定设备指纹或IP区间，并设置合理过期时间。避免将敏感字段（如手机号、余额）直接写入token载荷。 文件与路径操作需严格控制。小程序上传头像等文件时，PHP端必须重命名原始文件名，禁用用户提交的扩展名，仅允许jpg/jpeg/png，并通过fileinfo扩展校验MIME类型（而非依赖$_FILES['type']）。禁止将用户输入用于file_get_contents()、include或shell_exec()等高危函数的参数，防止LFI或远程命令执行。 错误信息切忌暴露细节。开发环境可开启error_reporting(E_ALL)，但生产环境务必关闭display_errors，改用error_log()记录日志，且日志中不包含密码、密钥、完整SQL等敏感内容。返回给小程序的错误码应为抽象业务码（如1003：参数异常），而非"SQLSTATE[42S22]: Column not found"这类数据库级提示。 定期进行最小权限审计。PHP运行账户禁止拥有服务器root权限；数据库账号仅授予业务库的SELECT/INSERT/UPDATE权限，删除DROP/ALTER权限；upload目录禁止执行PHP脚本，可通过Nginx配置location ~ \\.php$ { deny all; }实现。每季度复查composer依赖，及时更新存在CVE漏洞的第三方包。 安全不是功能清单，而是持续习惯。每次新增接口，同步编写参数过滤规则与日志埋点；每次修改数据库结构，重审SQL构造方式；每次上线前，执行基础渗透扫描（如sqlmap --batch -u "https://api.xxx.com/order?pid=1"）。真正的加固，藏在每一行谨慎的filter、每一个问号占位符、每一次静默的日志记录里。 （编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
