由 dawei PHP应用常因数据与代码边界模糊而面临SQL注入、XSS、命令执行等风险。防御核心在于“永远不信任输入，始终明确输出上下文”。
SQL注入防范必须弃用拼接字符串方式。统一采用PDO预处理语句，参数化绑定杜绝恶意SQL解析。即使使用MySQLi，也仅限mysqli_prepare+bind_param模式；禁用mysql_real_escape_string等过时函数，它无法应对多字节编码绕过。
用户输入进入HTML页面前必须进行上下文敏感转义。echo htmlspecialchars($input, ENT_QUOTES, ‘UTF-8’)是基础，但需配合正确的HTML属性引号和语义标签。JavaScript上下文则需使用json_encode($data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS)输出到script标签内，避免直接内联变量。
系统命令调用属高危操作。严禁将用户可控参数传入exec、shell_exec、system等函数。如确需动态执行，应严格白名单校验（如只允许特定文件名或固定参数组合），或改用PHP原生函数替代，例如用file_get_contents代替curl + shell。
文件上传必须三重校验：检查$_FILES[‘file’][‘type’]不可信，以扩展名白名单（如[‘jpg’,’png’]）结合fileinfo扩展验证MIME类型；重命名文件名并存储于Web根目录外；禁用上传目录的PHP执行权限（通过Web服务器配置）。
AI生成内容图，仅供参考
全局配置需加固：关闭display_errors（生产环境设为Off），启用error_log记录；设置open_basedir限制脚本访问路径；禁用危险函数如eval、assert、create_function，通过php.ini的disable_functions指令集中管理。
安全不能依赖单点防护。结合WAF规则过滤常见攻击载荷，同时引入静态代码扫描工具（如PHPStan+安全插件）识别潜在漏洞模式。定期更新PHP版本及扩展，及时修补已知漏洞。
最关键的是建立数据流向思维——每一份外部输入，都需明确其目的上下文（SQL、HTML、JS、Shell、文件路径），并选择对应层级的防御机制。架构师的任务不是堆砌防护，而是设计让错误输入天然失效的系统边界。