PHP进阶：H5开发中防御注入攻击的实战技巧

　　2025年我在做H5支付模块的测试时，发现某电商平台的订单接口存在SQL注入漏洞——输入`id=1' OR '1'='1`居然能返回所有订单。这个漏洞让我连夜写了200行测试脚本，模拟了37种注入场景，最终定位到问题出在`mysqli_query`直接拼接参数的老旧代码上。

　　PHP 8.1引入的`PDO::quote`真是救星。之前我们团队用拼接字符串处理用户输入，2024年Q1就遭遇过一次攻击，黑客通过`UNION SELECT`泄露了用户表数据。现在改成预处理语句后，连`' OR 1=1--`这样的payload都变成无害的字符串了。

　　这玩意儿管用。

　　但新技术也不是万能药。2025年4月我们测试的某社区H5应用，虽然用了`htmlspecialchars`过滤XSS，却忽略了CSS注入。攻击者通过`background-image:url('javascript:alert(1)')`成功弹窗，这个案例让我意识到：过滤规则必须覆盖所有输出上下文，包括style属性和SVG标签。老实说，这个坑我们团队踩了三次才爬出来。

　　第三方库的坑更大。2024年11月我们发现某H5活动页用了过时的`thinkphp`框架，其`input()`函数默认开启全局过滤，但转义规则存在缺陷。当时我们注入测试时，`system('dir')`竟然在特定条件下被执行了——这个发现吓得我立刻联系了框架组升级到最新版。

文章配图，仅供参考

　　不过自动化测试也有盲区。像时间盲注这种需要毫秒级响应的攻击，普通脚本根本测不出来。去年我们尝试过用JMeter模拟并发请求，结果反而把服务器压崩了——这种情况下，人工配合Burp Suite的手动测试反而更可靠。

　　防御注入没有银弹。2025年Q2我们测试的智能合约H5页面，虽然后端防护滴水不漏，却被前端JavaScript的`eval()`坑了。用户输入`fetch('/api/steal?cookie='+document.cookie)`后，数据瞬间被外泄——这个案例证明，攻击面可能超出PHP本身的范畴。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!