PHP8.5 怎么防御 SSRF 请求伪造漏洞-php教程-PHP中文网

PHP 8.5 不内置 SSRF 防御，需通过白名单校验URL、禁用allow_url_fopen/allow_url_include、限制cURL行为、架构解耦及日志审计等组合措施系统性防御。

php8.5 怎么防御 ssrf 请求伪造漏洞

PHP 8.5 本身不内置 SSRF 防御机制，但借助其增强的安全函数和现代开发实践，可以系统性地防御 SSRF（服务端请求伪造）。关键不是“PHP 版本自带防护”，而是开发者如何在 PHP 8.5 环境中正确设计、校验和限制服务端发起的网络请求。

核心原则：绝不信任用户输入的 URL，所有外发请求目标必须白名单化或强验证。

✅ 严格校验并限制请求目标地址

SSRF 的根源在于服务端直接使用用户可控参数（如 ?url=https://xxx）发起请求。防御第一步是拦截非法目标。

拒绝内网地址（127.0.0.1、192.168.x.x、10.x.x.x、172.16.x.x–172.31.x.x、::1、fe80::/10 等）
拒绝 file://、gopher://、dict://、ldap://、ftp:// 等高危协议（除非业务明确需要且已评估风险）
拒绝短域名、localhost、local、host.docker.internal 等易绕过别名
使用 filter_var($url, FILTER_VALIDATE_URL) 做基础格式校验，但不能替代后续逻辑检查

示例代码：

function isSafeUrl(string $url): bool {
    $parsed = parse_url($url);
    if (!$parsed || !isset($parsed['host'])) {
        return false;
    }

    $host = $parsed['host'];
    $ip = gethostbyname($host); // 注意：仅适用于 IPv4；IPv6 需用 gethostbynamel 或 dns_get_record

    // 检查是否为私有 IP（简化版，生产环境建议用更完整的 CIDR 判断库）
    if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4)) {
        if (ip_in_range($ip, '127.0.0.0/8') ||
            ip_in_range($ip, '10.0.0.0/8') ||
            ip_in_range($ip, '172.16.0.0/12') ||
            ip_in_range($ip, '192.168.0.0/16')) {
            return false;
        }
    }

    // 检查协议
    $allowedSchemes = ['http', 'https'];
    if (!in_array(strtolower($parsed['scheme'] ?? ''), $allowedSchemes)) {
        return false;
    }

    return true;
}

⚠️ 注意：gethostbyname() 可能触发 DNS 查询，若需更高性能与安全性，建议用 inet_pton() + filter_var() 组合做纯 IP 校验，并禁用 allow_url_fopen（见下文）。

✅ 禁用危险配置与函数

PHP 8.5 默认仍开启部分高危能力，需主动关闭：

在 php.ini 中设置：

PHP 8.5.12
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载
```
allow_url_fopen = Off
allow_url_include = Off
```
这能直接阻断 file_get_contents('http://...')、include('http://...') 等最常见 SSRF 入口。
若必须使用 cURL，避免直接传入用户 URL：
- 使用 curl_setopt($ch, CURLOPT_URL, $sanitized_url)，且 $sanitized_url 必须经上述白名单校验
- 设置超时与重定向限制：
```
curl_setopt($ch, CURLOPT_TIMEOUT, 5);
curl_setopt($ch, CURLOPT_MAXREDIRS, 3);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, false); // 禁止自动跳转，防止跳转到内网
```
避免使用 fsockopen()、stream_socket_client() 等底层函数直连用户指定地址。

✅ 使用可信代理或中间服务解耦请求逻辑

不推荐让 Web 应用直接发起任意外部请求。更安全的做法是：

将“获取远程资源”功能抽离为独立微服务（如 Go/Python 编写），该服务只接受预定义 ID（如 resource_id=article-123），由它查表映射到白名单 URL 并发起请求；
或引入企业级 HTTP 客户端网关（如 Envoy），统一做出口策略控制（IP 黑白名单、协议限制、DNS 解析隔离等）。

这样 Web 层完全不接触原始 URL，从根本上消除 SSRF 面向用户的攻击面。