ThinkPHP如何做请求参数注入防护正则增强_ThinkPHP自定义危险模式匹配【方法】-ThinkPHP-PHP中文网

thinkphp 6 的 validate 拦不住正则绕过，因其仅校验输入值是否匹配正则，不校验正则本身安全性；攻击者可提交含 (*commit) 等恶意 pcre 指令的正则，导致 preg_match 注入。

thinkphp如何做请求参数注入防护正则增强_thinkphp自定义危险模式匹配【方法】

ThinkPHP 6 的 `validate` 为什么拦不住正则绕过？

因为默认的 validate 规则只校验格式，不阻止恶意模式本身。比如你写 regex:/<script>.*?<\/script>/i</script>，TP 不会报错——它只管传入的值是否匹配这个正则，而不管这个正则是不是在主动诱导 XSS 或 SSRF。

真正危险的是：攻击者把恶意正则当参数传进来，再被你的代码动态拼进 preg_match，造成 PCRE 注入（如 (*COMMIT)、(*EXEC) 等控制指令执行）。

常见错误现象：preg_match($user_input_regex, $data) 直接执行，报错 PREG_BAD_PATTERN 反而是好事；更糟的是静默执行非预期逻辑
使用场景：后台允许用户自定义搜索规则、导出字段过滤、日志关键词高亮等需运行时编译正则的地方
必须禁止的元字符组合：(*...、??（非贪婪修饰符在某些上下文可触发回溯爆炸）、\K、(?{...})、(??{...})
推荐做法：用白名单预检正则字符串，而非尝试“修复”用户输入

如何安全地校验用户提交的正则表达式？

别自己写正则去“过滤”正则——那是在正则里写正则，极易漏判。直接用 PHP 原生函数做语法预检最可靠。

先调用 preg_last_error() 清空错误状态
用 @preg_match($user_regex, '') 尝试空匹配（加 @ 抑制警告，但必须后续检查 preg_last_error()）
只接受返回值为 false 且 preg_last_error() === PREG_NO_ERROR 的表达式
额外排除含 \x00、换行符、不可见控制字符的字符串（这些可能干扰 PCRE 解析器）

示例片段：

if (strpos($user_regex, "\x00") !== false || preg_match('/[\r\n\x01-\x08\x0b\x0c\x0e-\x1f]/', $user_regex)) {
    throw new InvalidArgumentException('Invalid regex pattern');
}
@preg_match($user_regex, '');
if (preg_last_error() !== PREG_NO_ERROR) {
    throw new InvalidArgumentException('Unsafe or malformed regex');
}