在 PHP Web 开发中，保障接口安全是系统稳定的基石。通过构建路由层的全局请求守卫，可以在业务代码执行前统一拦截非法 IP 与恶意参数。本文详解如何利用中间件模式实现请求参数的正则校验、敏感词过滤及 IP 黑名单机制，有效防御 SQL 注入、XSS 攻击与 CC 攻击，提升应用的整体安全性与健壮性。
引言
随着 Web 攻击手段的多样化，传统的在控制器内部进行参数校验的方式不仅代码冗余，且容易出现疏漏。攻击者常通过构造特殊的 URL 参数、POST 数据或利用代理 IP 进行恶意探测。将安全防护前置到路由分发阶段，建立一道全局的“请求守卫”，是目前主流框架（如 Laravel, ThinkPHP, Symfony）推崇的最佳实践。这种机制能够将所有进入系统的流量进行统一清洗，确保流入业务层的请求都是合法合规的。
请求守卫的设计思路
请求守卫（Request Guard）本质上是一个中间件（Middleware）。其核心逻辑位于路由解析之后，控制器方法调用之前。当 HTTP 请求到达时，守卫层依次执行以下检查：
-
IP 合法性校验：检查客户端 IP 是否在黑名单中，或是否符合特定的访问规则。
-
参数格式校验：对 GET、POST 等输入数据按照预设规则进行过滤。
-
恶意载荷检测：识别常见的攻击特征，如 SQL 注入关键词、JavaScript 脚本标签等。
若任一环节检测失败，立即终止请求并返回 403 Forbidden 或 400 Bad Request 响应，不再执行后续业务逻辑。
非法 IP 过滤机制
IP 过滤是抵御网络攻击的第一道防线。实现方式通常包含黑名单与白名单机制。
-
黑名单拦截：维护一个非法 IP 列表，当请求 IP 命中列表时直接拒绝。
-
动态封禁：结合 Redis 记录单位时间内同一 IP 的访问频率，超过阈值自动加入临时黑名单，防止 CC 攻击。
核心实现逻辑：
通过 $_SERVER['REMOTE_ADDR'] 获取客户端 IP，利用 in_array 或 Redis 的 exists 方法进行匹配。对于高并发场景，建议使用 Redis 存储 IP 集合，以降低 I/O 开销。
恶意请求参数过滤
恶意参数通常包含 SQL 注入语句（如 union select、drop table）或 XSS 攻击脚本（如 <script>）。全局过滤采用白名单与黑名单结合的策略。
-
白名单策略：定义参数允许的字符范围（如数字、特定字母），不符合格式的直接剔除。
-
深度过滤：使用
array_walk_recursive函数递归遍历多维数组，确保嵌套参数也能被扫描。 -
正则匹配：利用正则表达式匹配常见的攻击特征库。例如，匹配
' OR 1=1 --等典型注入语句。
关键代码示例逻辑：
定义危险关键词数组，遍历请求参数。一旦发现参数值中包含关键词，立即记录日志并阻断请求。同时，利用 htmlspecialchars 函数对特殊字符进行转义，防止 XSS 攻击。
守卫的注册与应用
在框架中，通常通过在路由配置文件或全局中间件配置文件中注册该守卫类。确保该中间件的执行顺序优先于身份验证和业务逻辑中间件。对于无需过滤的接口（如内网心跳检测），可设置路由排除规则，避免误伤正常请求。
结尾
构建路由全局请求守卫是 PHP 应用安全架构中至关重要的一环。通过在路由层统一处理 IP 黑名单与参数过滤，不仅大幅降低了业务代码的复杂度，也显著提升了系统的防御纵深。在实际生产环境中，建议配合 WAF（Web 应用防火墙）使用，并定期更新恶意特征库，以应对不断演变的网络威胁，确保数据资产的安全。
