PHP 四大安全防護策略：文件系統、資料庫、用戶輸入與環境配置全方位指南

PHP 應用安全非單一修補，需從文件系統、資料庫、用戶輸入、運行環境四個維度建立纵深防禦。本文系統梳理核心風險與對應策略，附代碼反面教材與最佳實踐清單。

一、文件系統安全：防範路徑遍歷與任意刪除

❌ 危險代碼

<?php
$username = $_POST['user_submitted_name'];
$userfile = $_POST['user_submitted_filename'];
$homedir  = "/home/$username";
unlink("$homedir/$userfile"); // 若 $userfile = '../etc/passwd' 將刪除系統文件
echo "The file has been deleted!";

✅ 防護策略

• 最小權限原則：PHP 進程以非 root 用戶運行，僅擁有業務目錄讀寫權限。
• 輸入白名單驗證：拒絕包含 ..、/、\、: 等路徑特徵字符的輸入。
• 避免直接操作文件：業務邏輯改為「標記刪除」+ 異步任務執行，文件名使用系統生成 UUID，用戶不可控。
• 路徑規範化：使用 realpath() 解析絕對路徑，確認在允許目錄樹內再操作。

二、資料庫安全：根治 SQL 注入

核心策略

• 專用低權限帳號：拒絕 root 連線，按模組分配最小權限（SELECT/INSERT/UPDATE），限制連線來源 IP。
• 全面採用 PDO 預處理語句：

  $stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
  $stmt->execute([':email' => $input]);
  

  參數綁定徹底隔離代碼與數據，根除注入。
• 敏感字段加密存儲：密碼使用 password_hash()（bcrypt/argon2），身份證、銀行卡等採用 AES-256-GCM 加密，金鑰由 KMS 管理。

三、用戶輸入過濾：防 XSS 與 CSRF

輸入端：白名單驗證

// 用戶名僅允許字母數字
if (!ctype_alnum($_POST['username'])) die('Invalid username');

輸出端：上下文感知編碼

• HTML 內容：htmlspecialchars($str, ENT_QUOTES, 'UTF-8')
• HTML 屬性：同上，確保雙引號轉義
• JavaScript 變量：json_encode() 直接輸出安全 JS 字面量
• URL 參數：rawurlencode()，拒絕 javascript: 協議

CSRF 防護：雙重驗證

• 表單隱藏 token（hash_hmac('sha256', session_id, secret)）
• 關鍵操作驗證 Referer / Origin 標頭
• 推薦使用 HTML Purifier 處理富文本輸入

四、環境與配置加固

版本管理鐵律

• 持續跟進 PHP 官方釋出，優先修補已知 CVE。
• Composer 依賴定期 composer update --dry-run 檢查安全公告。
• 停用舊版不再維護的擴展/框架（如 ZF1、CodeIgniter 3）。

安全清單速查

[ ] 文件操作：權限最小化、路徑白名單、UUID 命名
[ ] 資料庫：專用帳號、PDO 預處理、敏感字段加密
[ ] 輸入：白名單驗證、長度限制、型別轉換
[ ] 輸出：上下文編碼、CSP 標頭、HttpOnly Cookie
[ ] CSRF：Token 驗證、SameSite Cookie、雙重提交
[ ] 環境：錯誤不顯示、日誌完整、危險特性關閉
[ ] 版本：PHP 與依賴保持最新安全版本

安全是系統工程，而非單點修補。將上述策略內化為團隊開發規範，配合代碼審查與自動化掃描（如 Psalm、PHPStan、RIPS），才能構建經得起實戰考驗的 PHP 應用。