如何有效防御自动化搜索请求以保护共享主机上的数据库资源-php教程-PHP中文网

如何有效防御自动化搜索请求以保护共享主机上的数据库资源

本文介绍在共享主机环境下，通过组合 csrf 保护、响应缓存、ip 请求限流与无感验证码（如 recaptcha v3）等轻量级策略，兼顾用户体验与安全性，切实降低恶意爬虫和自动化脚本对搜索接口的 sql 资源消耗。

本文介绍在共享主机环境下，通过组合 csrf 保护、响应缓存、ip 请求限流与无感验证码（如 recaptcha v3）等轻量级策略，兼顾用户体验与安全性，切实降低恶意爬虫和自动化脚本对搜索接口的 sql 资源消耗。

在共享主机环境中，数据库执行次数往往受到严格限制，而公开的 GET 搜索接口极易成为自动化脚本（如爬虫、暴力探测器或恶意 SEO 工具）的攻击目标。单纯依赖 CSRF Token（虽能阻止跨站伪造提交）无法抵御主动构造请求的机器人——它们可轻松解析页面、提取 Token 并发起批量调用。因此，需构建多层、低侵入性的防护体系：

✅ 1. 延续并强化 CSRF 防护
确保每个搜索表单都携带一次性、绑定用户会话的 CSRF Token，并在服务端严格校验。注意：Token 应随页面加载动态生成（而非静态埋入），且有效期宜设为单次或短时（如 15 分钟），避免被复用。示例 PHP 片段：

// 生成并存储 Token（session 中）
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

<!-- 表单中 -->
<input type="hidden" name="csrf_token" value="<?= htmlspecialchars($_SESSION['csrf_token']) ?>">

✅ 2. 启用智能响应缓存
对高频搜索词（如“iPhone”“天气”“教程”）实施服务端缓存（如 APCu、Redis 或文件缓存），命中即直接返回 HTML/JSON，完全绕过数据库查询。建议缓存策略：

缓存键 = search_ + MD5(小写标准化关键词 + 语言/地区参数)；
缓存时间：30 分钟～2 小时（平衡新鲜度与负载）；
自动剔除空结果或错误响应，避免缓存污染。

✅ 3. 实施基于 IP 的请求节流（Rate Limiting）
无需拒绝合法请求，而是平滑限制单位时间内的搜索频次。例如：允许同一 IP 每分钟最多 10 次搜索，超限请求进入队列等待（或返回 429 Too Many Requests）。PHP + Redis 示例：

$ip = $_SERVER['REMOTE_ADDR'];
$key = "rate:search:{$ip}";
$redis->incr($key);
$redis->expire($key, 60); // 60秒窗口
if ($redis->get($key) > 10) {
    http_response_code(429);
    echo json_encode(['error' => '请求过于频繁，请稍后再试']);
    exit;
}

✅ 4. 集成透明式行为验证（推荐 reCAPTCHA v3）
reCAPTCHA v3 运行于后台，不打断用户操作：它分析用户浏览、鼠标轨迹、JS 执行环境等数百个信号，返回 0.0–1.0 的分数（1.0 表示极可能是真人）。你只需在服务端检查分数阈值（如 ≥0.5）再放行搜索：

// 前端：自动执行，无需用户交互
grecaptcha.ready(() => {
    grecaptcha.execute('YOUR_SITE_KEY', {action: 'search'}).then(token => {
        fetch('/search.php', {
            method: 'POST',
            body: new URLSearchParams({q: query, token})
        });
    });
});

// 后端验证（需 cURL 到 Google API）
$secret = 'YOUR_SECRET_KEY';
$response = file_get_contents("https://www.google.com/recaptcha/api/siteverify?secret={$secret}&response={$_POST['token']}");
$result = json_decode($response, true);
if (!$result['success'] || $result['score'] <p>⚠️ <strong>注意事项与最佳实践</strong>  </p><div class="aritcle_card flexRow artxards">
											<div class="artcardd flexRow">
												<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill6668" title="DrugBank 数据库"><img
														src="https://img.php.cn/upload/skill/000/000/081/179108121375956.jpg" alt="DrugBank 数据库" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
												<div class="aritcle_card_info flexColumn">
													<a rel="nofollow" href="/xiazai/skill6668" title="DrugBank 数据库" class="overflowclass">DrugBank 数据库</a>
													<p class="overflowclass">访问并分析来自 DrugBank 数据库的全面药物信息，包括药物属性、相互作用、靶点、通路、化学结构和药理学数据。用于药物数据、药物发现研究、药理学研究、药物-</p>
												</div>
												<a rel="nofollow" href="/xiazai/skill6668" title="DrugBank 数据库" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
												</a>
											</div>
										</div>