PHP 怎么安全编码培训

wen PHP项目 2026-08-03 209

PHP 安全编码培训指南

培训目标

通过本培训,使开发人员掌握PHP安全编码的核心技能，能够识别和防范常见的安全漏洞。

PHP 怎么安全编码培训

常见安全漏洞及防护

SQL注入（SQL Injection）

危险代码示例：

// ❌ 危险代码
$username = $_POST['username'];
$password = $_POST['password'];
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($conn, $sql);

安全代码示例：

// ✅ 安全代码 - 使用预处理语句
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();

跨站脚本攻击（XSS）

危险代码示例：

// ❌ 危险代码
echo "欢迎，".$_GET['username'];

安全代码示例：

// ✅ 安全代码 - 输出转义
echo "欢迎，".htmlspecialchars($_GET['username'], ENT_QUOTES, 'UTF-8');
// 或者使用模板引擎（如Twig）自动转义
echo $twig->render('welcome.html', ['username' => $_GET['username']]);

CSRF防护

危险代码示例：

// ❌ 危险代码
if ($_POST['action'] == 'delete') {
    deleteUser($_POST['user_id']);
}

安全代码示例：

// ✅ 安全代码 - 使用CSRF令牌
session_start();
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
if ($_POST['action'] == 'delete') {
    if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        die('CSRF验证失败');
    }
    deleteUser($_POST['user_id']);
}

文件上传漏洞

危险代码示例：

// ❌ 危险代码
move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/'.$_FILES['file']['name']);

安全代码示例：

// ✅ 安全代码
$allowedTypes = ['image/jpeg', 'image/png', 'image/gif'];
$maxSize = 2 * 1024 * 1024; // 2MB
if (!in_array($_FILES['file']['type'], $allowedTypes)) {
    die('不允许的文件类型');
}
if ($_FILES['file']['size'] > $maxSize) {
    die('文件过大');
}
// 生成随机文件名
$extension = pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION);
$newName = bin2hex(random_bytes(16)).'.'.$extension;
move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/'.$newName);

路径遍历

危险代码示例：

// ❌ 危险代码
$file = $_GET['file'];
$content = file_get_contents('/var/www/html/files/'.$file);

安全代码示例：

// ✅ 安全代码
$baseDir = '/var/www/html/files/';
$file = basename($_GET['file']);
$fullPath = $baseDir.$file;
if (strpos(realpath($fullPath), realpath($baseDir)) !== 0) {
    die('非法的路径');
}
$content = file_get_contents($fullPath);

安全编码最佳实践

输入验证与过滤

// 使用filter_var进行输入验证
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
if (!$email) {
    die('邮箱格式不正确');
}
$id = filter_var($_GET['id'], FILTER_VALIDATE_INT);
if (!$id || $id <= 0) {
    die('无效的ID');
}

会话安全

// 会话安全配置
session_start();
session_regenerate_id(true); // 防止会话固定攻击
// 设置安全的会话cookie
ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 1);
ini_set('session.use_strict_mode', 1);

密码安全存储

// ✅ 使用password_hash和password_verify
$hashedPassword = password_hash($password, PASSWORD_DEFAULT);
if (password_verify($password, $hashedPassword)) {
    echo '密码正确';
}

安全配置

// php.ini 重要安全配置
error_reporting(E_ALL);
display_errors = Off; // 生产环境关闭错误显示
log_errors = On;
expose_php = Off; // 隐藏PHP版本信息
open_basedir = "/var/www/html"; // 限制脚本可访问目录