PHP 5.3 时间戳校验核心是业务语义合规而非格式正确，需通过强类型过滤、业务区间检查和反向验证三步实现，并严防类型转换与执行顺序导致的绕过。
PHP 5.3 本身不校验时间戳参数的业务合理性，攻击者常利用 strtotime()、date_create() 或直接传入非法整数（如负数、超大值、Unix 时间戳溢出值）触发解析异常、逻辑绕过甚至 DoS。拦截关键不在“时间戳格式”，而在“是否符合业务语义”。下面从三个实操层面讲清楚怎么做。
识别恶意时间戳的常见形态
不是所有非法数字都该拦，得看上下文。典型恶意模式包括：
-
超出业务合理范围：比如订单创建时间传
-1、0、或9999999999（对应 2286 年），而系统只处理近 5 年数据； -
非整数但被强制转换：传字符串
"2026-01-01<script>alert(1)</script>"，若未过滤就进strtotime()，可能静默失败或触发意外行为； -
时区混淆型构造：如传
"now + 1000 years"或"1970-01-01 00:00:00 UTC"后拼接恶意内容，绕过简单正则； -
空值/NULL 变形：
""、null、"undefined"被 PHP 自动转为0，变成 1970 年，可能绕过权限判断。
服务端参数校验三步法（PHP5.3 兼容）
不用依赖新版本 DateTime 类，用原生函数就能稳控：
-
第一步：强类型过滤 —— 用
filter_input()指定整数类型，自动丢弃非数字字符串：$ts = filter_input(INPUT_GET, 'time', FILTER_VALIDATE_INT);
若返回false或null，直接拒绝； -
第二步：业务区间检查 —— 设定硬性上下限（例如允许 2021–2031 年）：
$min = strtotime('2021-01-01'); $max = strtotime('2031-12-31');<br> if ($ts < $min || $ts > $max) { die('时间参数非法'); }； -
第三步：防静默失败兜底 —— 对需要转为日期对象的场景，用
date()反向验证：if (date('U', $ts) != $ts) { /* 溢出或无效，PHP5.3 date() 对非法时间戳会返回 -1 或 1970 */ die(); }。
避免被绕过的两个关键细节
很多项目加了判断仍被绕过，问题出在执行顺序和函数行为上：
立即学习“PHP免费学习笔记（深入）”；
-
别在
strtotime()之后再校验：它对很多畸形输入（如"123abc"）返回false或int(0)，此时你校验的是“0”，不是原始值；必须先过滤原始参数，再传给时间函数； -
警惕自动类型转换陷阱：比如
$_GET['t'] == 0会把"0x123"、"0e123"都判为 true，要用===和is_int()显式判断； -
日志里记录原始值：不要只记
date('Y-m-d', $ts)，要记下$_GET['t']原始字符串，方便溯源攻击手法。
核心就一句话：时间戳不是“能解析出来”就合法，而是“在业务规则里该出现”才合法。PHP5.3 的限制反而是好事——逼你写明确的边界，而不是依赖新版本的自动防护。
