PHP参数注入本质是用户可控参数未经处理进入敏感操作环节，防范关键在于切断“参数→执行”链：严格分离数据与逻辑、强制类型校验、禁用危险函数、按上下文转义输出。
PHP参数注入不是独立漏洞类型，而是SQL注入、命令注入、代码执行、文件包含等攻击的共同入口表现——本质是把用户可控参数未经处理就带入敏感操作环节。防范关键不在“堵某个口”，而在切断“参数→执行”的错误传递链。
严格分离数据与逻辑
所有数据库查询必须用预处理语句，禁用字符串拼接：
- PDO示例：
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); $stmt->execute([$_GET['id']]); - MySQLi示例：
$stmt = $mysqli->prepare("INSERT INTO log(msg) VALUES (?)"); $stmt->bind_param("s", $_POST['msg']); $stmt->execute(); - 切勿写：
"SELECT * FROM users WHERE id = " . $_GET['id']或"' . addslashes($_GET['id']) . '"
参数类型强制校验
对每个接收的参数明确预期类型，并立即转换或拦截异常值：
- 数字型：用 intval()、(int) 或 filter_var($x, FILTER_VALIDATE_INT)，不接受负数就加范围检查
- 邮箱：用 filter_var($email, FILTER_VALIDATE_EMAIL)
- URL：用 filter_var($url, FILTER_VALIDATE_URL) 并限制协议白名单（如仅允许 http/https）
- 枚举值（如 status=active/inactive）：用白名单数组比对，
in_array($_GET['status'], ['active','inactive'], true)
禁用危险函数并限制执行上下文
在 php.ini 中主动关闭高危能力：
立即学习“PHP免费学习笔记（深入）”；
- disable_functions = eval,assert,exec,shell_exec,system,passthru,proc_open,popen,unserialize,call_user_func,call_user_func_array
- allow_url_fopen = Off（防远程文件包含）
- allow_url_include = Off
- 涉及文件路径的参数（如
include $_GET['page'] . '.php'），必须用白名单映射：$pages = ['home'=>'home.php', 'about'=>'about.php']; $file = $pages[$_GET['page']] ?? die('Invalid page');
输出时按上下文转义
参数安全 ≠ 输出安全。同一参数在不同位置需不同处理：
- HTML内容中显示：htmlspecialchars($data, ENT_QUOTES | ENT_HTML5, 'UTF-8')
- HTML属性内（如
value="xxx"）：htmlspecialchars($data, ENT_QUOTES, 'UTF-8') - JavaScript字符串内：json_encode($data, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP)
- URL参数中：urlencode($data)
- Shell命令参数（尽量避免）：escapeshellarg($data) 或 escapeshellcmd($data)，但首选重构为PHP原生函数替代
