ThinkPHP如何防止Cookie注入攻击_ThinkPHP值转义与签名说明【说明】-ThinkPHP-PHP中文网

是的，thinkphp 5.1+ 默认开启 cookie 签名机制，自动对 cookie() 写入值签名并校验，但仅保护值不保护键名，且不覆盖原生 $_cookie 或 setcookie()；禁用需显式设 'sign' => false。

thinkphp如何防止cookie注入攻击_thinkphp值转义与签名说明【说明】

ThinkPHP 的 Cookie 签名机制默认开启吗？

是的，ThinkPHP 5.1+ 默认对 cookie() 写入的值自动签名，读取时会校验签名一致性。这意味着直接篡改 Cookie 值（如修改 user_id=123 为 user_id=999）会导致 cookie('user_id') 返回 null 或抛出异常（取决于配置），而不是错误地信任恶意值。

但这个保护只作用于通过 cookie() 函数写入/读取的值；如果绕过该函数、用原生 $_COOKIE 访问，或手动调用 setcookie()，签名机制完全失效。

签名密钥来自应用配置中的 cookie.salt（TP6 中为 cookie.encrypt_key），若未显式设置，框架会自动生成，但不建议依赖默认值
签名仅覆盖值本身，不保护键名（key）——攻击者仍可伪造任意键名，只要值签名无效，框架就忽略它
禁用签名需显式设置 'sign' => false，但生产环境绝不推荐

哪些 Cookie 场景必须手动转义？

签名防篡改 ≠ 防 XSS 或 SQL 注入。当 Cookie 值被输出到 HTML、拼接到 SQL、或用于文件路径时，仍需按上下文做对应转义。

典型高危场景：

将 cookie('nickname') 直接 echo 到页面：<div>= cookie('nickname') ?></div> → 必须用 htmlspecialchars() 转义
用 cookie('token') 拼接 SQL 查询："SELECT * FROM user WHERE token = '" . cookie('token') . "'" → 必须用参数绑定，或至少 addslashes()（但不推荐）
将 cookie('lang') 作为文件名的一部分：include 'lang/' . cookie('lang') . '.php' → 必须白名单校验或 basename() 过滤

ThinkPHP 不会对读取后的 Cookie 值自动转义——它只负责“你给的值没被改过”，不负责“你拿它干啥”。这点常被忽略。

如何验证 Cookie 是否真的被篡改？

不要只依赖 cookie('xxx') === null 判断失效，因为某些配置下签名失败可能返回空字符串或原始值（尤其在调试模式或 app_debug=true 时）。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

可靠做法是显式检查签名状态：

// TP6 示例：使用 Cookie 组件的 verify 方法
use think\facade\Cookie;
if (!Cookie::has('user_id') || Cookie::get('user_id', '', false) === null) {
    // 签名校验失败，视为非法
    abort(403, 'Invalid cookie');
}

关键点：