PHP 8.3 无新增时间戳注入漏洞，但不当使用用户输入参与时间逻辑仍可导致时间注入；须切断时间值与不可信输入耦合，统一用 FrozenClock 等可信时钟，禁用 strtotime 和未校验的 DateTime 解析，数据库时间由 SQL 层生成。

PHP 8.3 本身不引入新的时间戳注入漏洞，但时间相关逻辑若处理不当——比如将未经校验的用户输入直接用于时间比较、会话控制或数据库查询——仍可能被利用绕过时效限制，构成“时间注入”风险。防御关键不在升级版本，而在切断时间值与不可信输入的耦合。

严格校验并冻结关键操作时间源

所有依赖时间的安全判断（如验证码有效期、登录会话续期、限时活动开关），不应使用 date() 或 time() 这类易受系统时钟篡改影响的函数。应统一接入可信时钟实例：

• 用 Clock8 的 FrozenClock 在关键流程中固定时间点，例如：$clock = new FrozenClock(new DateTimeImmutable('2026-10-22 12:00:00'));
• 业务逻辑中一律调用 $clock->now() 获取时间，而非 new DateTimeImmutable() 或 time()
• 避免从 URL、表单、HTTP 头等位置读取时间字符串并直接解析（如 $_GET['expires']）

禁止用户输入参与时间计算逻辑

时间戳本身是整数，但“用户能提交的时间”不是安全时间源。常见错误包括：

• 把 $_POST['valid_until'] 直接传给 DateTimeImmutable::createFromFormat() 后比对
• 用 strtotime($_GET['delay']) 计算延时任务触发时间
• 将用户传入的毫秒时间戳用于 sleep() 或缓存 TTL 设置

正确做法是：只接受预设枚举值（如 '5m'、'1h'、'24h'），在服务端映射为白名单内的固定秒数；或完全由后端生成时间边界，前端仅作展示。

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

立即学习“PHP免费学习笔记（深入）”；

时间格式解析必须强制指定时区与格式

未限定格式和时区的 strtotime() 或 DateTimeImmutable::__construct() 可能因输入歧义导致意外结果，间接放大时间逻辑偏差：

• 始终使用 DateTimeImmutable::createFromFormat('Y-m-d H:i:s', $input, new DateTimeZone('UTC'))
• 解析失败时返回 false，绝不静默降级或 fallback 到当前时间
• 对解析出的时间对象，额外校验其是否落在合理业务区间（如不能早于 2020 年，不能晚于 5 年后）

数据库层时间字段不依赖 PHP 生成

防止攻击者通过篡改客户端时间或伪造请求头影响时间判断，关键时间字段（如 created_at、expires_at）应在 SQL 层由数据库服务器生成：

• 建表时设默认值：created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP
• 插入时不传时间字段，交由 MySQL/PostgreSQL 自动填充
• 涉及有效期的查询，用 NOW() > expires_at 而非 PHP 计算后传参