如何在 Laravel 中安全验证动态表单规则的有效性-php教程-PHP中文网

如何在 Laravel 中安全验证动态表单规则的有效性

本文介绍如何通过正则表达式校验用户提交的 laravel 动态验证规则，防止恶意篡改导致运行时异常，确保自定义字段功能的安全性与稳定性。

在构建支持用户自定义字段（如食品过期日期、设备序列号等）的 Laravel 应用时，一个关键安全挑战是：如何防止用户通过前端篡改或注入非法验证规则（如 exec:rm -rf / 或 callback:App\MaliciousClass@run），从而引发验证器崩溃、服务拒绝甚至远程代码执行风险？

Laravel 原生不提供「规则白名单校验」API，Validator::make() 在遇到未知规则时会直接抛出 InvalidArgumentException，这在动态规则场景下不可接受。因此，必须在规则进入验证器之前进行预检。

✅ 推荐方案：基于正则的规则白名单预校验

以下正则表达式严格匹配 Laravel 9/10 官方支持的核心内置规则及其常用参数格式（不含闭包、类方法、自定义规则等高危扩展），可作为服务端输入守门员：

$rulePattern = '/^
    (accepted|nullable|active_url|alpha(_dash)?|array|boolean|date|declined|distinct(:(strict|ignore_case))?
    |email(:(((rfc|dns|strict|spoof|filter),){1,4})?(rfc|dns|strict|spoof|filter))?
    |integer|ip(v[46])?|mac_address|json|required|string|url
    |size:[0-9]{1,9}
    |(max|min|multiple_of):(-?[0-9]{1,9})
    |(ends|starts)_with:([A-Za-z0-9_-.,s]+)
    |digits_between:[0-9]{1,2},[0-9]{1,2}
    |digits:(-?[0-9]{1,2})
    |between:(-?[0-9]{1,9}),(-?[0-9]{1,9})
    |(after|before)(_or_equal)?:((today)|[0-9]{4}-(0[1-9]|1[0-2])-(0[1-9]|[12][0-9]|3[01]))
)$/x';

// 使用示例
$rulesFromDb = ['expiration_date' => 'required|date|after:today', 'sku' => 'required|string|max:50'];
foreach ($rulesFromDb as $field => $ruleString) {
    $ruleParts = explode('|', $ruleString);
    foreach ($ruleParts as $rule) {
        if (!preg_match($rulePattern, trim($rule))) {
            throw new ValidationException(
                new IlluminateHttpResponse('Invalid validation rule detected: ' . $rule)
            );
        }
    }
}

⚠️ 关键注意事项

不支持自定义规则：该正则仅覆盖 Laravel 内置规则。若需支持自定义规则，请显式维护白名单数组（如 in_array($ruleName, ['phone_zh', 'tax_id'], true)），切勿用正则模糊匹配。
参数值需二次校验：正则仅保证语法合法，例如 max:999999999 虽匹配，但可能影响性能；建议对数值类参数（max, min, size）追加范围限制（如 ≤ 10000）。

JSON Toolkit
JSON文件多功能工具。支持格式化、验证、压缩、键排序及点记法路径查询。零依赖。

下载

避免规则拼接漏洞：永远不要将用户输入直接拼入 validate() 数组，而应先拆分、逐条校验、再重组：

// ❌ 危险：未校验直接使用
$request->validate([$field => $userProvidedRules]);

// ✅ 安全：预校验后构建
$validatedRules = [];
foreach (explode('|', $userProvidedRules) as $rawRule) {
    $cleanRule = trim($rawRule);
    if (preg_match($rulePattern, $cleanRule)) {
        $validatedRules[] = $cleanRule;
    } else {
        abort(400, "Invalid rule: {$cleanRule}");
    }
}
$request->validate([$field => implode('|', $validatedRules)]);