PHP防SQL注入：14年经验总结的3层硬核防御体系

　　走廊尽头那台监护仪一直在响，我摘了听诊器凑过去看，三床的波形突然跳成直线。护士站小张正在剥橘子，汁水溅到键盘上，她骂了句“这破键盘”，抬头冲我喊：“老陈，急诊转来的那个PHP项目，SQL注入漏洞又复现了。”我摸出白大褂口袋里半块饼干，咬了一口才想起来——去年端午，就是这玩意儿差点让我栽跟头。

　　那会儿刚接手一个医疗系统的接口改造，原代码是十年前的PHP4写的，参数绑定全靠字符串拼接。我原以为“预处理+转义”两层防御足够，结果测试环境跑了一周，日志里突然冒出`SELECT FROM users WHERE id=1 OR 1=1--`。我盯着屏幕愣了三秒，转身冲进测试组：“谁放的payload？”小王叼着棒棒糖抬头：“我按标准渗透测试流程走的，您之前说‘转义函数能防90%的注入’，这不就试试剩下的10%？”

　　打印机卡纸的间隙，我翻出那本《PHP安全编程实践》，2012年版的，书页边缘都卷了。书里写的防御体系是三层：输入过滤、预处理语句、存储过程。我当时觉得存储过程太老派——现在都流行ORM框架，谁还手写SQL？结果小王当场演示了怎么绕过PDO的`quote()`：在参数里塞个`\x00`，转义函数直接歇菜。我摸着下巴上的胡茬，突然想起上周三床家属踱步时踢到的那根网线——有些漏洞，就像藏在角落里的灰尘，不拿灯照根本看不见。

　　后来我改了方案：所有接口参数先过`filter_var()`，再丢给PDO预处理，最后在存储过程里加权限校验。小王皱眉：“三层会不会太臃肿？”我指了指他屏幕上的Burp Suite：“你刚才用`UNION SELECT`提权成功，是因为原代码没限制返回字段数。现在存储过程里只返回`id,name`，你连`password`的影子都摸不到。”他低头敲了串代码，再跑时日志里只有`Warning: PDOStatement::execute(): SQLSTATE[HY093]: Invalid parameter number`——攻击向量被卡在第二层了。

　　护士站的老李凑过来：“我听说有些框架自带防注入，何必自己造轮子？”我撕开饼干包装袋：“去年端午那事儿你忘了？某开源框架的`escape()`函数有个边界漏洞，攻击者能通过`%bf%27`绕过。自己写的三层防御，至少每个环节都能拍着胸脯说‘我测过’。就像三床的心电图，监护仪响了要查波形，不能光信警报声。”他点点头，转身去换输液袋，家属在门口来回踱步的影子被灯光拉得老长。

　　上个月复盘时，小王提了个问题：“如果攻击者用宽字节注入呢？”我愣了下——这招在PHP5.3之前确实有效，GBK编码下`%bf%27`会被转义成`縗'`，从而闭合引号。但我们的三层体系里，输入过滤会先干掉所有非ASCII字符，预处理语句又用`?`占位符，存储过程再限制字符集为`utf8mb4`。他试了半小时，最后挠头：“这防御跟铁桶似的，怎么突破？”我笑了笑：“所以我说‘优胜劣汰’——十年前大家觉得存储过程笨重，现在看，它才是最后一道闸门。”

文章配图，仅供参考

　　这个我不讲了——反正后来那项目上线半年，安全团队扫了二十次，连个`SELECT `的警告都没报过。小王现在见我就喊“三层教父”，我嫌肉麻，让他滚去测新项目的接口。他临走时说了句：“其实最狠的不是防御多厚，是你知道每个漏洞会在哪层被拦住。”我摸着白大褂口袋里剩下的半块饼干，突然觉得，这行当和急诊科有点像——病人送来时，你得先判断是心脏问题还是呼吸问题，再决定用除颤仪还是气管插管。防御SQL注入也一样，三层体系不是堆砌，是给每个可能的攻击路径都设了路障。

　　打印机又卡纸了，我过去拍了两下，纸“哗啦”一声吐出来。小张抬头：“老陈，三床家属问明天能不能出院。”我愣了下：“这关我什么事？”她笑：“你不是总说‘防御要像监护仪，时刻盯着’吗？现在人家问病情，你倒装糊涂。”我挠挠头，转身往值班室走——监护仪还在响，但波形已经稳了，像极了我们那三层防御体系，看着笨重，却能扛住最狠的攻击。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!