使用PHP开发Web应用需防范SQL注入、XSS、文件包含等安全威胁。1、通过PDO预处理语句与占位符实现参数化查询，防止SQL注入；2、输出用户数据时使用htmlspecialchars()转义，并结合Content-Security-Policy响应头及HTML Purifier库防御XSS；3、避免直接包含用户输入的文件路径，采用白名单机制并禁用allow_url_include防止文件包含漏洞；4、校验上传文件扩展名与MIME类型，存储于Web目录外或禁用执行权限以保障文件上传安全；5、启用session.use_strict_mode、登录后调用session_regenerate_id(true)及设置session.cookie_httponly防止会话劫持。
如果您在开发Web应用时使用PHP，但未采取适当的安全措施，则可能面临SQL注入、跨站脚本（XSS）、文件包含等安全威胁。以下是编写安全PHP代码的关键步骤和防御方法。
本文运行环境：Dell XPS 13，Ubuntu 24.04
一、防止SQL注入攻击
SQL注入是攻击者通过在输入字段中插入恶意SQL代码来操控数据库查询的常见攻击方式。使用参数化查询可以有效阻止此类攻击。
1、使用PDO（PHP Data Objects）扩展进行数据库操作，确保所有用户输入都通过预处理语句传递。
立即学习“PHP免费学习笔记（深入）”；
2、将SQL语句中的变量替换为占位符，例如：:username 或 ?。
3、执行查询前，使用bindParam或execute方法绑定用户输入数据，确保其仅作为值处理而非SQL代码执行。
二、防御跨站脚本（XSS）攻击
XSS攻击利用未过滤的用户输入在网页中注入恶意脚本，从而窃取会话信息或劫持用户操作。输出编码是主要防御手段。
1、在向HTML页面输出任何用户提供的数据前，使用htmlspecialchars()函数对特殊字符进行转义。
2、设置HTTP响应头Content-Security-Policy，限制页面可加载的脚本来源，减少恶意脚本执行的可能性。
3、对富文本内容使用专门的净化库如HTML Purifier，允许安全的HTML标签同时移除潜在危险的onerror、onclick等事件属性。
三、防止文件包含漏洞
当PHP动态包含文件时，若未严格验证文件名，攻击者可能通过路径遍历加载恶意文件。必须限制文件包含范围。
1、避免使用用户输入直接作为include或require的文件路径。
2、使用白名单机制，只允许预定义的文件名被包含，例如通过数组映射用户请求到合法文件。
3、禁用allow_url_include配置项，防止远程文件包含攻击。
四、安全处理文件上传
不安全的文件上传功能可能让攻击者上传并执行恶意PHP脚本。必须对上传文件进行多重校验。
1、检查文件扩展名是否在允许列表中，仅接受如.jpg、.png等非可执行类型。
2、使用fileinfo扩展验证文件MIME类型，防止伪装成图片的PHP文件。
3、将上传文件存储在Web根目录之外，或确保上传目录无脚本执行权限。
五、保护会话安全
会话劫持和固定攻击可能导致用户身份被冒用。需加强会话管理机制。
1、启用session.use_strict_mode，防止会话ID被任意指定。
2、在用户登录成功后调用session_regenerate_id(true)，重新生成会话ID并销毁旧会话。
3、设置session.cookie_httponly为On，防止JavaScript访问会话Cookie。
