如何修复密码找回接口中的SQL注入漏洞-SQL-PHP中文网

密码找回接口是sql注入高发区，因其常允许通过email、phone等字段查询且易忽略参数校验；必须用预编译语句杜绝拼接，辅以字段类型与长度硬约束。

如何修复密码找回接口中的sql注入漏洞

密码找回接口是SQL注入高发区，因为通常需要根据用户输入的邮箱或手机号查询账户，且容易忽略参数校验——直接拼接查询语句就等于给攻击者开了数据库后门。修复的关键不是“加一层过滤”，而是彻底切断用户输入参与SQL结构构建的路径。

为什么找回接口特别危险

这类接口常有这些特征：允许通过email、phone、username任意字段查用户；返回逻辑依赖查询结果是否存在（比如“邮箱不存在”或“已发送重置链接”）；错误信息可能泄露表名或字段名（如Unknown column 'email' in 'where clause'）。攻击者用' or 1=1 -- 就能绕过校验，甚至用union select把管理员密码拖出来。

必须用预编译语句，不能靠字符串转义

mysql_real_escape_string或addslashes在找回场景下基本无效：现代MySQL默认开启NO_BACKSLASH_ESCAPES模式，单引号逃逸可能被忽略；如果接口同时支持邮箱（含@、.）和手机号（纯数字），统一转义反而破坏业务逻辑；更关键的是，一旦字段类型判断出错（比如把phone当字符串处理，实际字段是BIGINT），转义就失效。

Cutout.Pro抠图

一款提供AI自动抠图和背景移除能力的图片处理工具，可快速提取人物、商品等主体并支持批量处理视觉素材。

下载

PHP用PDO时，必须写成$stmt = $pdo->prepare("SELECT id, email FROM users WHERE email = ?");，然后$stmt->execute([$email]);
绝不能出现"WHERE email = '$email'"或"WHERE email = :email"但后面用array('email' => $email)手动拼数组——PDO的命名占位符必须严格绑定，否则:email会被当成字面量
Node.js用mysql2时，用connection.execute("SELECT * FROM users WHERE phone = ?", [phone])，别用query()直接拼串

额外加固点：字段类型与长度要硬约束

找回接口的输入看似自由，其实有强业务边界。比如邮箱长度不可能超过254字符，手机号国内就是11位数字。不验证这些，等于放行超长payload绕过WAF或触发缓冲区异常。

PHP中用filter_var($email, FILTER_VALIDATE_EMAIL)校验格式，再用strlen($email) 卡长度
手机号直接用ctype_digit($phone) && strlen($phone) === 11，别信正则/^1[3-9]\d{9}$/——它不防138000000000这种12位垃圾数据
如果后端支持多字段查找（邮箱/手机/用户名），必须为每个字段定义独立校验规则，不能共用一套宽松逻辑

别让错误信息暴露数据库结构

接口返回{"code":400,"msg":"user not found"}是安全的；返回{"code":500,"msg":"SQLSTATE[42S22]: Column not found: 1054 Unknown column 'emial' in 'where clause'"}就是在教攻击者怎么写对字段名。生产环境必须关掉数据库错误透出。