PHP安全開發鐵律：從常見漏洞到纵深防禦體系構建

安全開發核心原則

1. 不信任任何輸入：`$_GET`、`$_POST`、`$_COOKIE`、`$_SERVER`、`$_FILES`、HTTP Headers、數據庫讀取、第三方API響應、文件內容 —— 全部視為不可信
2. 最小權限原則：數據庫用戶僅擁有必要增刪改查權限，PHP進程以非root用戶運行，禁用危險函數（`exec`、`shell_exec`、`passthru`、`system`、`proc_open`、`popen`）
3. 纵深防禦：單一防線必然失效，需在輸入驗證、業務邏輯、輸出編碼、WAF、資料庫權限、服務器加固、監控告警等多層建立防禦
4. 安全左移：需求階段威脅建模、編碼階段靜態分析、測試階段滲透測試、部署階段基線檢查、運行階段實時防護

OWASP Top 10 在 PHP 中的防禦實戰

A01:2021 – 訪問控制失效

• 每個敏感操作強制授權檢查：`$this->authorize('update', $post)` (Laravel Policy) 或自定義 RBAC/ABAC
• 避免 IDOR（不安全直接對象引用）：使用 UUID/HashID 替代自增 ID，或嚴格校驗所有權

A02:2021 – 加密失效

• 敏感數據加密存儲：`openssl_encrypt($data, 'AES-256-GCM', $key, OPENSSL_RAW_DATA, $iv, $tag)`
• 密碼哈希：`password_hash($pwd, PASSWORD_ARGON2ID)` / `password_verify()`，嚴禁 MD5/SHA1/自定義加密
• 傳輸加密：全站 HTTPS，HSTS、Certificate Transparency、TLS 1.2+

A03:2021 – 注入攻擊

• SQL注入：全量使用預處理語句 `PDO::prepare()` / `bindParam()`，ORM 確保不拼接 SQL，禁用模糊查詢拼接
• 命令注入：避免 `exec()`，必須用 `escapeshellarg()`/`escapeshellcmd()`，優先用 PHP 內置函數替代 Shell
• LDAP/XPath/NoSQL 注入：同樣使用參數化 API 或專用轉義函數

A04:2021 – 不安全設計

• 業務流程防重放：關鍵操作加入一次性 Token（CSRF Token、業務幂等鍵）
• 限流防暴力：登錄、註冊、發送驗證碼接口接入 Redis 計數器限流 + 驗證碼

A05:2021 – 安全配置錯誤

• `php.ini` 硬化：`display_errors=Off`、`expose_php=Off`、`allow_url_fopen=Off`、`allow_url_include=Off`、`session.cookie_httponly=1`、`session.cookie_secure=1`、`session.use_strict_mode=1`
• 禁用危險函數：`disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source,pcntl_exec`
• 目錄權限：`public` 目錄外不可寫入，上傳目錄禁用腳本執行權限（Nginx `location ~ \.php$ { deny all; }`）

A06:2021 – 易受攻擊的組件

• Composer 依賴掃描：`composer audit`、`roave/security-advisories:dev-latest` 自動阻止已知漏洞包安裝
• 定期更新：PHP 版本（僅使用積極支持版本）、框架、擴展、基礎鏡像
• 軟件物料清單（SBOM）：生產環境記錄所有依賴版本，配合漏洞情報快速排查影響範圍

A07:2021 – 身份認證失效

• 多因子認證（MFA）：TOTP、WebAuthn、短信/郵箱驗證碼
• 會話安全：`session_regenerate_id(true)` 登錄後重生成 ID，`SameSite=Strict/Lax`、短過期時間、Redis 存儲集群化
• JWT 最佳實踐：短過期 Access Token + 刷新 Token 轉存，簽名算法 RS256/ES256，驗證 `exp`、`nbf`、`iss`、`aud`

A08:2021 – 軟件和數據完整性失效

• CI/CD 管道簽名驗證：構建產物簽名、部署前驗證
• Composer 依賴鎖定：`composer.lock` 入庫，生產環境 `composer install --no-dev --prefer-dist`
• 自動更新風險控制：生產環境禁用自動更新，變更走變更管理流程

A09:2021 – 安全日誌和監控失效

• 結構化日誌：Monolog + JSON 格式，包含 `trace_id`、`user_id`、`ip`、`action`、`result`、`risk_level`
• 關鍵事件實時告警：登錄失敗超閾值、權限變更、敏感數據導出、異常 SQL、文件上傳異常
• 日誌完整性保護：寫入不可變存儲（S3 Object Lock、ELK 索引生命周期策略）

A10:2021 – 服務端請求偽造 (SSRF)

• 禁止用戶控制的 URL 請求內網資源：白名單驗證域名/IP、禁用私有 IP 段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16、169.254.0.0/16、127.0.0.0/8）
• HTTP 客戶端配置：`CURLOPT_FOLLOWLOCATION=0` 禁用重定向、設置超時、限制協議（僅 http/https）
• 網絡層隔離：應用服務器無法直接訪問元數據服務、數據庫、內部管理接口

PHP 專項防禦清單

安全開發生命周期 (SDL) 落地

1. 訓練：全員年度安全培訓，開發專項 OWASP Top 10、框架安全特性
2. 需求：安全驗收標準、隱私影響評估 (PIA)、威脅建模 (STRIDE)
3. 設計：架構安全評審、加密方案設計、認證授權模型
4. 編碼：IDE 安全插件、靜態分析 (PHPStan Level 8+、Psalm、RIPS)、代碼審查清單
5. 測試：單元測試覆蓋安全邊界、SAST/DAST/IAST 掃描、滲透測試、模糊測試
6. 發布：基線檢查、漏洞掃描、簽名驗證、灰度發布監控
7. 響應：應急預案、漏洞分級響應 SLA、補丁管理、事後複盤

總結

PHP 安全非「配幾個參數」即可，而是貫穿全生命周期的系統工程。核心在於：參數化查詢消滅注入、輸出編碼阻斷 XSS、最小權限限制破壞半徑、纵深防禦構建彈性體系。建立「安全即代碼」文化，將安全檢查納入 CI/CD 流水線，讓漏洞無處遁形。