PHP解析AI响应JSON需三重防护：一用json_decode($s, true)转数组并校验返回值；二检查HTTP状态码非200时记录告警；三通过hash_equals()比对HMAC签名确认响应来源可信。
PHP如何用json_decode()安全解析AI响应
AI接口返回的JSON数据不能直接json_decode()后就信任使用——攻击者可能在响应体里注入非法字段、超长字符串、嵌套过深结构，甚至伪造{"status":"success"}但实际夹带恶意payload。关键不是“能不能解”，而是“解完敢不敢用”。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 始终传入第二个参数
true，强制返回关联数组而非对象，避免后续用->访问引发未定义属性警告或静默失败 - 调用前检查
strlen($response) （例如限制1MB），防超大响应耗尽内存 - 解码后立刻用
json_last_error()判断是否成功，JSON_ERROR_DEPTH和JSON_ERROR_UTF8最常被恶意构造触发 - 不要忽略
json_decode($s, true, 512, JSON_THROW_ON_ERROR)——PHP 7.3+推荐加JSON_THROW_ON_ERROR，让错误抛异常而非静默返回null
如何校验AI响应的结构与字段类型
仅验证JSON语法合法远远不够。攻击者可返回合法JSON但篡改字段语义，比如把"answer": "2+2=4"换成"answer": "<script>fetch('/steal')"</script>，或把"confidence": 0.95改成"confidence": "high"干扰业务逻辑。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 定义白名单字段数组：
$allowed_keys = ['answer', 'confidence', 'sources'];，用array_diff_key($data, array_flip($allowed_keys))检查是否有意外字段 - 对关键字段做类型断言：用
is_string($data['answer']) && strlen($data['answer']) ，而非只判<code>isset($data['answer']) - 数值字段如
confidence必须用is_float()+ 范围检查（$data['confidence'] >= 0.0 && $data['confidence'] ），防字符串绕过 - 若AI返回
sources为URL数组，需逐个用filter_var($url, FILTER_VALIDATE_URL)校验，且限定协议为https
为什么不能跳过Content-Type和HTTP状态码校验
很多开发者只盯着响应体，却忽略HTTP层信号——攻击者可伪造AI服务端，返回200 OK但Content-Type: text/html，里面塞满HTML/JS；或返回200但实际是Nginx默认错误页（含敏感路径信息）。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 用cURL时务必检查
curl_getinfo($ch, CURLINFO_CONTENT_TYPE)是否严格等于"application/json"，注意末尾可能带; charset=utf-8，需用stripos()宽松匹配 - 必须检查
curl_getinfo($ch, CURLINFO_HTTP_CODE)=== 200，否则即使JSON解析成功也应拒绝处理 - 若用
file_get_contents()配合stream_context_create()，需手动设置'http' => ['ignore_errors' => false]，否则4xx/5xx也会返回body - 记录并告警非200响应——可能是中间人劫持或上游API被攻陷的早期信号
签名验证比JSON Schema更实用的场景
当AI服务支持HMAC签名（如OpenAI的x-amzn-requestid或自建服务的X-Signature头），这是比字段校验更底层的防护。它不防数据篡改，但能确认响应确实来自预期服务端，而非代理、缓存污染或DNS投毒。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 从响应头取
X-Signature（或你约定的头名），再用共享密钥+响应体原始字节计算HMAC-SHA256，严格比较（用hash_equals()防时序攻击） - 签名必须覆盖完整响应体（
$raw_body），而非仅解析后的数组——否则攻击者可在JSON外追加注释或空格绕过 - 若服务端签名含时间戳，PHP端需校验
abs($now - $timestamp) （5分钟），防重放攻击 - 别把密钥写死在代码里，从环境变量读：
getenv('AI_API_SECRET')，并确保.env文件不在Web根目录下可访问
真正危险的不是明显报错的恶意响应，而是那些语法正确、字段存在、类型看似合规，却在边缘case里埋了执行链的“合法坏数据”。校验要像剥洋葱：HTTP层 → JSON语法 → 字段白名单 → 类型/范围 → 业务语义 → （可选）密码学签名。少一层，风险就多一层。
