2026年PHP安全开发规范：OWASP Top 10 防御指南-php教程-PHP中文网

防sql注入最有效方法是使用禁用模拟预处理的pdo或mysqli预编译语句，配合占位符参数化查询；禁用addslashes等转义函数，动态标识符须白名单校验。

2026年php安全开发规范：owasp top 10 防御指南

SQL注入必须用 PDO::prepare() 或 mysqli_prepare()

不关掉模拟预处理，就等于没防。PDO 默认开启 PDO::ATTR_EMULATE_PREPARES = true，此时 prepare() 只是客户端拼 SQL 字符串，execute() 才发过去——攻击者仍可构造 id=1%27; DROP TABLE users-- 绕过。

正确写法要显式关闭并设异常模式：

$pdo = new PDO($dsn, $user, $pass, [
    PDO::ATTR_EMULATE_PREPARES => false,
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION
]);
$stmt = $pdo->prepare("SELECT * FROM orders WHERE user_id = ? AND status = ?");
$stmt->execute([$_GET['uid'], 'shipped']);

占位符 ? 或 :name 只能用于值，不能用于表名、列名、ORDER BY 或 GROUP BY 子句
真要动态列名？只能白名单校验：in_array($_GET['sort'], ['created_at', 'amount'], true)
mysqli_prepare() 不支持多语句（如 "INSERT; SELECT"），这反而是好事，堵死了常见绕过路径

别再用 addslashes()、mysql_real_escape_string() 做“防护”

这些函数在 2026 年已彻底失效且被移除。mysql_real_escape_string() 在 PHP 7.4+ 中不存在；addslashes() 对宽字节（GBK）、JSON 内嵌、Unicode 归一化等场景完全无效，还容易让人产生虚假安全感。

典型错误写法：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

// ❌ 危险：仍可能被 GBK 宽字节注入绕过
$sql = "SELECT * FROM users WHERE name = '" . addslashes($_GET['name']) . "'";
<p>// ❌ 更危险：mysqli_real_escape_string() 不是 prepare 替代品
$query = "INSERT INTO logs VALUES ('" . mysqli_real_escape_string($mysqli, $_POST['msg']) . "');"</p>

所有基于字符串拼接 + 转义的方案，本质仍是把数据当命令处理，违背“数据与逻辑分离”原则
OWASP Top 10 2025 明确指出：输入验证和过滤只是辅助，不能替代参数化查询
AI 生成代码中高频出现这类误用，CI/CD 流水线建议加正则扫描：preg_match('/\$_(GET|POST|REQUEST)\[.*\].*\'/', $code)

动态执行函数（eval/system/exec）必须上下文隔离

eval()、system()、exec() 在 2026 年不是“慎用”，而是“禁用除非沙箱”。它们让 PHP 运行时失去控制权，一旦参数含用户输入，就是 RCE 入口。

AI 生成代码常自动补全 eval('return ' . $_GET['callback'] . '();')，这是典型的 JSONP 劫持+RCE 双重风险
若必须调用外部命令，优先用 escapeshellarg() + 白名单命令路径：shell_exec('/usr/bin/convert ' . escapeshellarg($input_file) . ' ' . escapeshellarg($output_path))
生产环境 PHP 配置应禁用：disable_functions = eval,system,exec,passthru,shell_exec,proc_open

AI 生成代码需强制过 AST 污点分析

2026 年 OWASP Top 10 新增“AI 注入”条目，核心风险不是模型胡说，而是它把不安全模式当成“合理默认”——比如直接拼 SQL、跳过密码哈希、硬编码密钥、忽略 MIME 校验。

推荐 CI/CD 中嵌入轻量级校验：

用 nikic/php-parser 构建 AST，追踪 $_GET/$_POST 是否流入 query()、exec()、eval() 等 sink 节点
检测危险模式组合：BinaryOp 节点中左操作数为静态 SQL 字符串、右操作数为 $_GET 变量
对 AI 输出的 DTO 类，检查是否含 declare(strict_types=1) 和构造器参数类型声明——缺失即标记为“边界模糊”