PHP项目等保测评准备材料

wen PHP项目 2026-07-20 9

PHP项目等保测评准备材料全指南：从零到合规的实战清单

目录导读

等保测评的核心概念与PHP项目特殊性
等保二级与三级对PHP项目的具体要求差异
PHP项目等保测评必备材料清单（附模板）
常见漏洞审计与修复方案（SQL注入、XSS、文件上传）
安全配置清单：服务器、框架、数据库
测评流程与时间规划
FAQ常见问题解答

等保测评的核心概念与PHP项目特殊性

网络安全等级保护（简称“等保”）是中国国家信息安全的基本制度，对于PHP项目而言，等保测评不仅关注网络架构，更需重点关注代码层面的安全风险，PHP作为动态脚本语言，其弱类型特性、文件包含函数、不当的会话管理，往往成为攻击者的突破口。

PHP项目等保测评准备材料

核心矛盾：PHP开发效率高，但传统开发模式常忽略安全编码规范，等保测评要求企业提供完整的安全管理制度、技术防护记录以及代码审计报告。

关键提醒：等保三级要求“身份鉴别”“访问控制”“安全审计”等9大类技术指标，PHP项目必须逐一对照整改。

等保二级与三级对PHP项目的具体要求差异

维度	等保二级	等保三级
身份鉴别	密码策略+登录失败锁定	增加双因素认证、动态令牌
访问控制	基本权限管理	最小权限原则、强制访问控制
安全审计	系统日志	完整审计记录+存储保护（6个月以上）
漏洞扫描	每季度一次	每月一次+渗透测试
PHP版本	支持PHP 7.4+	必须PHP 8.1+（无已知漏洞）

注意：PHP项目若涉及用户敏感信息（如支付、医疗数据），通常强制要求等保三级。

PHP项目等保测评必备材料清单（附模板）

准备材料可分为三大类：制度文档、技术报告、系统截图。

1 制度文档类（须加盖公章）

《信息系统安全管理制度》：包含密码管理、运维操作、应急响应等章节。
《PHP开发安全规范》：详细描述过滤输入、输出编码、会话固定防护等编码要求。
《数据备份与恢复方案》：明确PHP应用数据备份频率（建议每日增量、每周全量）。

2 技术报告类

《源代码审计报告》：使用RIPS或Fortify SCA扫描PHP代码，重点审计$_GET、$_POST、include/require、eval等高风险函数。
《渗透测试报告》：由第三方机构执行，需包含SQL注入、XSS、CSRF、路径遍历等测试项结果。
《漏洞修复记录表》：列出每个发现漏洞的严重等级、修复日期、修复人、验证结果。

3 系统截图与配置证明

PHP配置文件php.ini：确保disable_functions包含exec、system、popen等危险函数；expose_php=Off。
Web服务器配置：Nginx/Apache的禁用目录列表、限制上传目录执行权限的截图。
数据库安全配置：MySQL的skip-grant-tables必须关闭，local-infile=0。

常见漏洞审计与修复方案（PHP专项）

1 SQL注入——头号杀手

审计要点：搜索所有直接拼接SQL的代码片段，如"SELECT * FROM users WHERE id = ".$_GET['id']。

修复方案：

// 错误写法
$sql = "SELECT * FROM users WHERE id = " . $_GET['id'];
// 正确写法（使用PDO预处理）
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");
$stmt->execute([':id' => $_GET['id']]);

2 XSS（跨站脚本攻击）

审计要点：所有输出到HTML的用户数据必须进行HTML实体编码。

修复方案：

// 输出时使用htmlspecialchars
echo htmlspecialchars($user_name, ENT_QUOTES, 'UTF-8');
// 谨慎使用echo $user_name; // 直接输出存在XSS风险

3 文件上传漏洞

审计要点：检查上传文件是否仅校验了后缀名（如$_FILES['file']['type']可伪造）。

修复方案：

禁止上传目录直接访问PHP文件（通过.htaccess配置php_flag engine off）
使用随机重命名+白名单后缀校验
限制文件大小（upload_max_filesize）

安全配置清单：服务器、框架、数据库

1 服务器层（Linux + Nginx）

# 禁止PHP文件访问目录列表
autoindex off;
# 限制上传目录执行权限
location /uploads {
    location ~ \.php$ { deny all; }
}
# 禁用危险的HTTP方法
if ($request_method !~ ^(GET|HEAD|POST)$ ) { return 405; }

2 PHP框架层（以Laravel为例）

强制使用CSRF Token保护表单提交
关闭APP_DEBUG=true（生产环境必须false）
使用encrypt()加密Cookie敏感数据

3 数据库层（MySQL）

-- 创建专用数据库账号（最小权限）
GRANT SELECT, INSERT, UPDATE, DELETE ON dbname.* TO 'app_user'@'localhost';
-- 关闭远程root登录
DELETE FROM mysql.user WHERE User='root' AND Host NOT IN ('localhost');

测评流程与时间规划

准备阶段（2-4周）：收集材料、整改PHP代码漏洞、配置服务器安全策略。
自测评（1周）：使用OpenVAS扫描服务器漏洞，使用PHPStan检测代码质量。
正式测评（1-2天）：测评机构现场或远程检查，常见检查项包括：登录页面是否存在暴力破解防护、Session ID是否随机、错误信息是否屏蔽。
整改与复测（1-2周）：针对测评报告中的不符合项逐一修复并提交证据。

关键时间节点：

纸质材料需在测评前5个工作日提交电子版。
漏洞修复后需保留后台操作日志作为证明。

FAQ常见问题解答

Q1：PHP项目是否必须使用框架？
A：不强制，但使用Laravel/Yii2等现代框架可自动实现CSRF、XSS过滤、ORM防注入，大幅降低等保整改难度，原生PHP项目需要手动补充所有安全措施。

Q2：等保测评是否要求PHP版本必须是8.x？
A：等保三级建议使用官方仍在安全更新的版本（目前为8.1/8.2/8.3），PHP 7.4已于2022年停止支持，测评可能因此扣分。

Q3：第三方组件（如Composer包）需要审计吗？
A：需要！测评机构会检查composer.lock中是否包含已知漏洞的依赖包（如旧版phpmailer），建议使用composer audit命令定期扫描。

Q4：如果项目运行在云服务器上，等保测评怎么处理？
A：需提供云服务商（如阿里云、腾讯云）的等保认证证书，并明确划分“云平台安全边界”与“客户应用安全责任”，PHP代码层面的整改仍需自己完成。

Q5：测评未通过怎么办？
A：通常有1个月的整改期，最常见的不符合项包括：“密码未加密存储”“日志未记录操作时间”“phpinfo()可访问”，请对照《等保测评整改报告》逐条修复。

PHP项目的等保测评并非一次性工作,而应转化为日常开发的安全基线，建议组建安全团队，将代码审计嵌入CI/CD流程，使用工具链（如OWASP ZAP、SonarQube）进行持续监控。真正的等保，不是一份过期的材料，而是一个持续运行的安全体系。