PHP安全编码三大致命漏洞避坑指南

　　去年二月份接了个PHP的活儿，甲方是个做电商的，需求文档写得那叫一个详细——光是“用户登录”就写了十八页，从验证码生成到密码加密算法全列出来了。结果上线前三天，他们CTO突然在群里发了个60秒的语音方阵，说“安全审计那边说有个高危漏洞，必须今晚改完”。我点开需求文档翻到最后一页，好家伙，原来他们把“防SQL注入”写成了“防SQL注入（可选）”，这他妈是可选的吗？

　　我原以为他们只是没仔细看文档，结果翻聊天记录才发现，这帮人从项目启动就一直在“就改一点点”。第一次是说要加个“记住密码”功能，我说涉及本地存储安全，得加验证逻辑，他们说“就一行代码，用户方便嘛”；第二次是要求把密码明文传输改成加密，我说得用HTTPS，他们说“现在改太麻烦，先做个AES加密凑合”；第三次就是这次，审计说所有用户输入都没做过滤，直接拼SQL语句——我翻代码发现，他们连PDO都没用，全是mysql_query这种十年前就该淘汰的函数。

　　最绝的是他们CTO那句“在吗？”。凌晨两点发来的，我盯着手机屏幕看了三秒，直接把手机扣在枕头上。第二天早上回“在”，他秒发了个压缩包，里面是三百多行需要“紧急修复”的代码——全是他们自己改的，把原本用预处理语句的地方全换成了字符串拼接，说是“这样更灵活”。我打开文件一看，好家伙，连$id = $_GET['id'];这种代码都没做类型检查，直接就往WHERE条件里塞。

文章配图，仅供参考

　　第一，别信甲方的“就改一点点”。他们说“加个字段”的时候，可能意味着要改五张表的关联查询；说“优化下性能”的时候，可能是在要求你把所有查询从INNER JOIN改成LEFT JOIN——哪怕数据量差了三个数量级。我上次遇到个更离谱的，甲方说“把登录页面的按钮颜色调深一点”，结果改完他们说“现在按钮和背景色太接近了，用户分不清”，非要我把按钮做成动态渐变的——最后我花了两天时间调CSS，比写安全过滤代码的时间还长。

　　第二，预处理语句不是万能的，但不用一定是万万不能的。我见过有人用PDO还写$stmt->execute(array($_GET['id']))，说“这样也能防注入”。大哥，你连参数类型都没指定，攻击者传个数组进去，PDO直接就把数组转成字符串"Array"拼到SQL里了——这和直接拼$_GET有什么区别？正确做法是先$stmt->bindParam(':id', $id, PDO::PARAM_INT)，再$id = (int)$_GET['id']，双重保险才靠谱。

　　第三，别把安全交给前端。去年有个项目，甲方说“我们前端用了XSS过滤库，后端不用做了”。结果测试的时候，我直接在输入框里打了个，前端确实给转义了，变成<script>alert(1)</script>——但后端取出来存数据库的时候，又用htmlspecialchars_decode给转回来了，说是“要保留用户输入的原始格式”。最后上线第一天就被扫出XSS漏洞，甲方还怪我“没提前发现”，我直接把他们的代码截图发群里：“这锅我背不动，您自己看看第278行。”

　　现在我最怕听到甲方说“我们之前项目就是这么做的”。上周有个做金融的找过来，说“我们要做个用户资金查询接口，和之前那个一样就行”。我问“之前那个怎么做的？”，他说“用GET请求传用户ID和金额，后端直接查数据库”。我当场就炸了：“你们知道GET请求会被缓存吗？知道浏览器历史记录会存参数吗？知道攻击者可以直接改URL伪造查询吗？”他沉默了三秒，说“那…那改成POST？”我说“不止，得加Token验证、IP白名单、操作日志，最好再做个二次确认弹窗”——他听完直接挂了视频，后来在群里说“你们报价太贵了，我们找别人做”。

　　我敢打包票，十个项目里有八个的安全问题，都是因为甲方“就改一点点”改出来的。他们总觉得安全是“额外功能”，是“可以后期再补的”，但等真出了事，第一个怪的就是开发——“你们怎么没做好防护？”所以现在接活儿，我第一件事就是让他们签个《安全责任书》，明确写清楚“所有用户输入必须过滤、所有数据库操作必须用预处理语句、所有敏感数据必须加密存储”——哪怕因此丢几个单子，也比事后背锅强。

　　对了，昨天那个CTO又发消息了，说“我们决定把项目二开，加个区块链存证功能”。我盯着屏幕看了半天，回了个“？”——他秒发了个转账截图，备注“定金”。我点开一看，金额是上次尾款的十分之一。我笑了笑，把截图转发到项目群，配了句话：“这单，谁爱接谁接。”

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!