怎样在旧版PHP系统维护中无缝接入SQL注入防护中间件-SQL-PHP中文网

旧版php系统无法添加sql注入防护中间件，必须将参数化查询封装为safe_query()函数并全局替换所有mysqli_query()调用，同时对动态表名、列名、like、in、order by等场景做白名单校验与预处理控制。

怎样在旧版php系统维护中无缝接入sql注入防护中间件

旧版PHP系统没法直接上ORM或框架，所谓“SQL注入防护中间件”本质上是伪概念——没有标准接口、不支持自动拦截、无法在PDO/MySQLi底层注入钩子。你真正能做的，是把参数化查询能力封装成可复用的函数层，并强制覆盖所有现有SQL调用点。

为什么不能加“中间件”而必须改代码

PHP 5.6–7.4 的老旧系统普遍直接调用 mysql_query() 或裸写 mysqli_query()，这些函数不经过任何抽象层，也没有事件钩子或执行前拦截机制。所谓“中间件”，在无自动请求路由、无统一DB入口、无autoload机制的老系统里根本无处挂载。

常见错误现象包括：

试图用 set_error_handler() 捕获SQL错误并反向修复——它只捕获PHP错误，不干预SQL拼接过程
写个全局函数如 safe_sql() 包裹原始SQL字符串——若没重写所有 mysqli_query() 调用，90%的漏洞点依然裸奔
依赖WAF规则过滤 ' OR '1'='1 ——绕过方式极多（编码、注释、宽字节、大小写混用），且无法防御 INSERT 或 UPDATE 场景下的数据篡改

用 PDO 封装层替代原生 mysqli_query

不是加中间件，而是替换调用链。目标：让所有 mysqli_query($conn, $sql) 都变成走预处理逻辑，且不改动业务代码结构。

实操建议：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

新建 db_safe.php，定义 safe_query($conn, $sql, $params = []) 函数，内部用 $conn->prepare($sql) + execute($params) 实现
对原系统中所有 mysqli_query() 调用，用 Cursor 全局搜索+替换：mysqli_query$([^)]+),\s*([^)]+)$ → safe_query($1, $2)
注意兼容性：若原SQL含动态表名或列名（如 "SELECT * FROM {$_GET['table']}"），$sql 参数不能进占位符，必须先用白名单校验：in_array($_GET['table'], ['users', 'orders'])，再拼接
禁用模拟预处理：$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false)，否则 MySQL 会退化为客户端转义，宽字节注入仍可能生效

处理 LIKE、IN、ORDER BY 这类动态语法

占位符不能用于表名、列名、排序方向、IN 子句长度——这些必须在PHP层硬控制，否则生成的SQL模板本身就不合法。

典型场景与应对：

LIKE 查询：用户输入 $_GET['kw']，不能写成 "WHERE name LIKE '%?%'"（语法错误），要先拼好通配符：$search = '%' . $_GET['kw'] . '%';，再绑定：$stmt->execute([$search])
IN (?, ?, ?)：若ID数组长度不确定，需动态生成占位符串：$placeholders = str_repeat('?,', count($ids) - 1) . '?';，再拼SQL："WHERE id IN ($placeholders)"，最后绑定整个数组
ORDER BY：字段名和方向必须白名单限定，例如：$field = in_array($_GET['sort'], ['name', 'created_at']) ? $_GET['sort'] : 'id';，$dir = in_array($_GET['dir'], ['ASC', 'DESC']) ? $_GET['dir'] : 'DESC';，然后硬编码进SQL："ORDER BY $field $dir"

绕过风险最高却最容易被忽略的点

最危险的不是登录框，而是那些看起来“只读”、不涉及用户提交的接口——比如后台导出Excel时拼接 WHERE date >= '{$_GET['start']}'，或者日志页按 $_SERVER['HTTP_USER_AGENT'] 记录并查询。这类地方往往没做任何过滤，又恰好在管理员权限下运行，一旦突破就是RCE级后果。

排查时盯死三类变量：

所有 $_GET、$_POST、$_REQUEST、$_COOKIE 直接参与字符串拼接的位置
服务器环境变量：$_SERVER['HTTP_REFERER']、$_SERVER['HTTP_USER_AGENT']、$_SERVER['QUERY_STRING']
文件路径、配置项读取结果：如 parse_ini_file($_GET['cfg']) 后再拼SQL，等于把任意文件内容拖进数据库上下文