### [PHP安全编码规范：SQL注入与XSS攻击的防御性编程实践指南](https://www.huociguo.com/article/905)

**Published:** 2026-08-21T15:23:10

**Author:** 米了

**Excerpt:** 在Web应用开发中，安全漏洞是导致数据泄露和系统被入侵的主要原因。本文系统梳理PHP开发中SQL注入与跨站脚本…

在Web应用开发中，安全漏洞是导致数据泄露和系统被入侵的主要原因。本文系统梳理PHP开发中SQL注入与跨站脚本（XSS）攻击的原理与危害，详细讲解预处理语句、输入验证、输出编码等核心防御技术，并提供符合行业标准的编码规范与最佳实践，帮助开发者构建更安全的PHP应用程序。

![](https://api.huociguo.com/wp-content/uploads/2026/08/20260821232255694-2115fc24f2-1.png "20260821232255694-2115fc24f2-1")

## 引言

随着互联网应用的快速迭代，Web安全威胁日益复杂。根据OWASP（开放式Web应用程序安全项目）历年发布的Top 10安全风险报告，注入攻击与跨站脚本攻击长期位居前列。PHP作为全球使用最广泛的服务器端脚本语言之一，其灵活性与易用性在提升开发效率的同时，也因开发者安全意识不足而容易引入安全隐患。

SQL注入攻击通过在数据库查询中插入恶意SQL代码，可绕过身份验证、窃取敏感数据甚至获取服务器权限；XSS攻击则将恶意脚本注入网页，在用户浏览时执行，从而窃取Cookie、会话令牌或实施钓鱼攻击。两者均可能造成严重的业务损失与声誉损害。

本文聚焦于PHP环境下的防御性编程实践，从代码层面提供可落地的解决方案，旨在建立系统化的安全编码思维。

### SQL注入攻击原理与防御

#### 1.1 SQL注入攻击机制

SQL注入发生在应用程序将用户输入直接拼接到SQL查询语句中，且未经过充分验证或转义时。攻击者通过构造特殊输入，改变原有SQL语句的逻辑结构，实现非授权数据访问或操作。

**典型漏洞代码示例：**

```php
$username = $_POST['username'];
$password = $_POST['password'];
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($conn, $sql);
```

当攻击者提交用户名 `' OR '1'='1` 时，最终执行的SQL语句变为：

```sql
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = ''
```

由于 `'1'='1'` 恒成立，该查询将返回所有用户记录，导致身份验证被绕过。

#### 1.2 防御策略一：使用预处理语句（Prepared Statements）  

预处理语句是防御SQL注入的最有效手段。其核心原理是将SQL语句模板与参数数据分别发送至数据库服务器，确保参数值不会被解析为SQL代码的一部分。

**PDO方式实现：**

```php
$pdo = new PDO(
    "mysql:host=localhost;dbname=test;charset=utf8mb4",
    $username,
    $password,
    [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
        PDO::ATTR_EMULATE_PREPARES => false
    ]
);

$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ? AND status = ?");
$stmt->execute([$email, $status]);
$user = $stmt->fetch();
```

**MySQLi方式实现：**

```php
$stmt = $mysqli->prepare("SELECT id, username FROM users WHERE email = ?");
$stmt->bind_param("s", $email);
$stmt->execute();
$result = $stmt->get_result();
```

**关键注意事项：**

-   必须将 `PDO::ATTR_EMULATE_PREPARES` 设置为 `false`，禁用模拟预处理，确保真正使用数据库原生预处理功能。
    
-   预处理语句适用于所有包含动态参数的SQL操作，包括 `INSERT`、`UPDATE`、`DELETE` 和 `SELECT`。
    

#### 1.3 防御策略二：输入验证与过滤  

预处理语句虽能解决注入问题，但输入验证仍是不可或缺的安全层。应始终遵循”白名单验证”原则，仅允许符合预期格式的数据通过。

```php
// 验证邮箱格式
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    throw new InvalidArgumentException("无效的邮箱格式");
}

// 验证整数ID范围
$pageId = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 1, 'max_range' => 10000]
]);
if ($pageId === false || $pageId === null) {
    http_response_code(400);
    exit("无效的页面ID");
}

// 枚举值验证
$allowedRoles = ['admin', 'editor', 'viewer'];
if (!in_array($role, $allowedRoles, true)) {
    throw new InvalidArgumentException("不支持的角色类型");
}
```

#### 1.4 防御策略三：最小权限原则  

数据库账户应遵循最小权限原则，应用程序使用的数据库用户仅授予必要的操作权限，避免使用具有 `DROP`、`GRANT` 等高危权限的超级用户账户。

### 二、XSS跨站脚本攻击原理与防御  

#### 2.1 XSS攻击分类  

|     |     |     |     |
| --- | --- | --- | --- |   
| 类型  | 存储位置 | 触发方式 | 危害程度 |
| 存储型XSS | 服务器数据库 | 用户访问含恶意代码的页面时自动执行 | 高   |
| 反射型XSS | URL参数 | 诱骗用户点击特制链接 | 中   |
| DOM型XSS | 客户端DOM | JavaScript直接操作DOM触发 | 中高  |

#### 2.2 防御策略一：输出编码（Output Encoding）  

根据输出上下文选择合适的编码方式，是防御XSS的核心手段。

**HTML正文上下文：**

```php
// 使用htmlspecialchars进行HTML实体编码
echo htmlspecialchars($userInput, ENT_QUOTES | ENT_HTML5, 'UTF-8');
```

**HTML属性上下文：**

```php
// 属性值必须使用引号包裹并进行编码
<input type="text" name="username" value="<?php echo htmlspecialchars($username, ENT_QUOTES, 'UTF-8'); ?>">
```

**JavaScript上下文：**

```php
// 使用JSON编码，而非直接拼接字符串
<script>
    var userData = <?php echo json_encode($data, JSON_HEX_TAG | JSON_HEX_APOS | JSON_HEX_QUOT | JSON_HEX_AMP); ?>;
</script>
```

**URL上下文：**

```php
// URL参数需进行URL编码
<a href="/search?q=<?php echo rawurlencode($query); ?>">搜索</a>
```

#### 2.3 防御策略二：内容安全策略（CSP）  

CSP通过HTTP响应头明确告知浏览器哪些资源可以加载和执行，从根本上限制XSS攻击的影响范围。

```php
header("Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; frame-ancestors 'none'; base-uri 'self'; form-action 'self'");
```

**CSP核心指令说明：**

-   `default-src 'self'`：默认仅允许同源资源
    
-   `script-src`：限制脚本加载来源，避免使用 `'unsafe-inline'`
    
-   `frame-ancestors 'none'`：防止点击劫持攻击
    
-   `base-uri 'self'`：限制 `<base>` 标签的URL来源
    

#### 2.4 防御策略三：HttpOnly与Secure Cookie标志  

为会话Cookie设置安全属性，防止JavaScript访问敏感Cookie。

```php
session_set_cookie_params([
    'lifetime' => 0,
    'path' => '/',
    'domain' => '',
    'secure' => true,      // 仅通过HTTPS传输
    'httponly' => true,    // 禁止JavaScript访问
    'samesite' => 'Strict' // 防止CSRF攻击
]);
session_start();
```

#### 2.5 防御策略四：富文本输入的安全处理  

对于需要支持HTML格式的用户输入（如评论、文章编辑），应使用HTML净化库过滤危险标签和属性。

```php
// 使用HTML Purifier净化富文本
require_once 'htmlpurifier/library/HTMLPurifier.auto.php';

$config = HTMLPurifier_Config::createDefault();
$config->set('Core.Encoding', 'UTF-8');
$config->set('HTML.Allowed', 'p,b,strong,i,em,a[href],ul,ol,li,br');
$config->set('URI.AllowedSchemes', ['http' => true, 'https' => true, 'mailto' => true]);

$purifier = new HTMLPurifier($config);
$cleanHtml = $purifier->purify($dirtyHtml);
```

* * *

### 三、综合安全编码规范  

#### 3.1 安全配置基线  

```php
// php.ini关键安全配置
// expose_php = Off
// display_errors = Off
// log_errors = On
// session.cookie_httponly = 1
// session.cookie_secure = 1
// session.use_strict_mode = 1

// 生产环境错误报告设置
error_reporting(E_ALL);
ini_set('display_errors', 0);
ini_set('log_errors', 1);
ini_set('error_log', '/var/log/php/php_errors.log');
```

#### 3.2 统一安全包装函数  

在项目中建立统一的安全处理层，避免遗漏编码步骤：

```php
/**
 * 安全输出HTML内容
 */
function e(string $string): string
{
    return htmlspecialchars($string, ENT_QUOTES | ENT_HTML5, 'UTF-8');
}

/**
 * 安全输出JSON数据
 */
function json_safe($data): string
{
    return json_encode($data, JSON_HEX_TAG | JSON_HEX_APOS | JSON_HEX_QUOT | JSON_HEX_AMP | JSON_UNESCAPED_UNICODE);
}

/**
 * 安全重定向
 */
function safe_redirect(string $url): void
{
    $allowedHosts = ['example.com', 'www.example.com'];
    $parsedUrl = parse_url($url);
    
    if (isset($parsedUrl['host']) && !in_array($parsedUrl['host'], $allowedHosts, true)) {
        throw new RuntimeException("重定向目标域名不被允许");
    }
    
    header("Location: " . $url, true, 302);
    exit;
}
```

#### 3.3 安全编码检查清单  

|     |     |
| --- | --- | 
| 检查项 | 状态  |
| 所有数据库查询使用预处理语句 | □   |
| 用户输入在输出前进行上下文编码 | □   |
| 设置Content-Security-Policy响应头 | □   |
| Cookie设置HttpOnly、Secure、SameSite属性 | □   |
| 富文本内容经过HTML净化处理 | □   |
| 错误信息不向用户暴露系统细节 | □   |
| 文件上传限制类型和大小 | □   |
| 所有表单提交使用CSRF Token验证 | □   |

## 结尾

安全编码不是一次性任务，而是贯穿软件开发生命周期的持续实践。SQL注入与XSS攻击虽为经典安全威胁，但每年仍造成大量数据泄露事件。通过采用预处理语句、严格的输入验证、上下文感知的输出编码以及内容安全策略等多层防御机制，可显著降低应用被攻击的风险。

建议将安全编码规范纳入团队开发流程，结合自动化代码审计工具（如PHPStan、Psalm的安全规则集）与定期渗透测试，形成”预防—检测—响应”的完整安全闭环。同时关注OWASP等权威安全组织的最新指南，及时更新防御策略，应对不断演变的攻击手法。

**Categories:** PHP教程

---