PHP参数注入如何防范-php教程-PHP中文网

php参数注入本质是用户可控参数未经处理进入敏感操作环节，防范关键在于切断“参数→执行”链：严格分离数据与逻辑、强制类型校验、禁用危险函数、按上下文转义输出。

php参数注入如何防范

PHP参数注入不是独立漏洞类型，而是SQL注入、命令注入、代码执行、文件包含等攻击的共同入口表现——本质是把用户可控参数未经处理就带入敏感操作环节。防范关键不在“堵某个口”，而在切断“参数→执行”的错误传递链。

所有数据库查询必须用预处理语句，禁用字符串拼接：

PDO示例：$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); $stmt->execute([$_GET['id']]);
MySQLi示例：$stmt = $mysqli->prepare("INSERT INTO log(msg) VALUES (?)"); $stmt->bind_param("s", $_POST['msg']); $stmt->execute();
切勿写："SELECT * FROM users WHERE id = " . $_GET['id'] 或 "' . addslashes($_GET['id']) . '"

对每个接收的参数明确预期类型，并立即转换或拦截异常值：

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

数字型：用 intval()、(int) 或 filter_var($x, FILTER_VALIDATE_INT)，不接受负数就加范围检查
邮箱：用 filter_var($email, FILTER_VALIDATE_EMAIL)
URL：用 filter_var($url, FILTER_VALIDATE_URL) 并限制协议白名单（如仅允许 http/https）
枚举值（如 status=active/inactive）：用白名单数组比对，in_array($_GET['status'], ['active','inactive'], true)

在 php.ini 中主动关闭高危能力：

disable_functions = eval,assert,exec,shell_exec,system,passthru,proc_open,popen,unserialize,call_user_func,call_user_func_array
allow_url_fopen = Off（防远程文件包含）
allow_url_include = Off
涉及文件路径的参数（如 include $_GET['page'] . '.php'），必须用白名单映射：$pages = ['home'=>'home.php', 'about'=>'about.php']; $file = $pages[$_GET['page']] ?? die('Invalid page');

参数安全 ≠ 输出安全。同一参数在不同位置需不同处理：

HTML内容中显示：htmlspecialchars($data, ENT_QUOTES | ENT_HTML5, 'UTF-8')
HTML属性内（如 value="xxx"）：htmlspecialchars($data, ENT_QUOTES, 'UTF-8')
JavaScript字符串内：json_encode($data, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP)
URL参数中：urlencode($data)
Shell命令参数（尽量避免）：escapeshellarg($data) 或 escapeshellcmd($data)，但首选重构为PHP原生函数替代

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！