PHP防SQL注入：三层硬核防御体系

　　我原以为把PDO预处理语句塞进每个query()方法里，再加个filter_var($id, FILTER_SANITIZE_NUMBER_INT)，这事就算结了——结果上周四凌晨三点，客户在群里甩来一张截图：首页快照停在2025年11月18日，连带三个二级栏目，全绿屏。我盯着那张图看了七分钟，烟灰缸里堆了四截烟头，阳台晾的三件衬衫还滴着水。

　　那天在下雨，隔壁装修的电钻声是间歇性的，每敲三十秒停十秒，像在测我耐心阈值。群里老张发了个捂眼哭的表情包，配文：“查一下收录”，我回：“查了”，他回：“再查”，我又回：“刚刷新完”，他发了个“……”后撤回，再没说话。我手抖点开百度站长平台，索引量曲线不是断崖，是斜坡——滑得不急，但滑了整整十九天，三百七十二个词，掉了一半。

　　客户催得倒不凶，就发语音，压着嗓子说“王老师你瞅瞅”，然后挂了。我听第二遍才听清背景音里有小孩在念拼音：“b—a—ba”。我边听边翻代码库，翻到2026年4月那次紧急上线的会员等级模块——当时改了SQL拼接逻辑，但没动DAO层封装，只加了strip_tags()和substr()做截断。我敢打包票，就是它。这个我敢打包票。

　　而真正崩的不是那个模块本身。是它被黑产当跳板，往user_agent字段里塞了十六进制编码的union select，顺藤摸瓜把整张users表拖走了，包括密码重置token。但奇怪的是，我们没丢用户，也没被通报——搜索引擎反而把所有带“会员中心”字样的页面全踢出索引。快照回退、外链失效、友链被牵连——老李那边新站刚上线不到五天，他问我“为啥我首页居然被标‘可能不安全’”，我说“你友情链接了我那个会员页”。他沉默三秒，回：“我删了。”

文章配图，仅供参考

　　我前天翻旧硬盘，在一个叫“zhanqun_v3.7_bak”的文件夹里找到2012年的php脚本，里面有一行注释：“// 此处若不转义，会被扫站工具爆库，已测试过”。底下跟着三行手工写的preg_replace，替换了单引号、分号、and。我笑了。现在看它蠢，可当年用它撑起来的七个行业站，三年没挂过一次。而我们现在写三层防御体系——第一层PDO预处理，第二层参数白名单校验，第三层WAF规则兜底——听着硬核，其实是被踩过太多坑以后，被迫把同一块石头搬了三次：第一次搬，是为了堵洞；第二次搬，是为了盖章；第三次搬，是为了跟甲方讲PPT。

　　客户昨天又来了，问“是不是要上云WAF”，我说“先别急”。他说“听说某云家的新版能自动修复SQL漏洞”，我说“它连你后台的验证码接口都能当成注入入口干掉”。他愣住。我补了句：“去年我帮一家建材站做迁移，他们用的还是tp3.2，我硬是把ThinkPHP的I()函数重写了七次，最后发现真正在跑的是vendor目录下自己塞的一个db.class.php，连命名都没改。你猜为什么？” 他摇头。我说：“因为最早那个程序员离职时，留了张纸条贴在显示器背面：‘别动class/db.class.php，我加了后门’。”

　　所以啊，所谓三层硬核防御体系，本质是三道时间筛子：筛掉懒得读文档的人，筛掉不敢删旧代码的人，筛掉觉得“只要不出事就等于安全”的人。我见过最狠的案例是杭州一家外贸B2B站，他们连登录页的SQL都手写预处理，但忘记改密码找回接口——那个接口还挂着mysql_query(“select from user where email=’$email’”)，后面跟了个eval($_POST[‘debug’])。他们排名消失那天，我在SEO群里看到有人发截图，标题是《PHP7.4+PDO+strict mode=绝对安全？》。我点开，评论区第一条是：“绝对安全？你试试把sql_mode设成‘STRICT_TRANS_TABLES’再传个null进去。” 第二条是：“null不算，试试\\0字符。”

　　所以我现在看防注入，不像看代码，像看考古地层——越往下挖，越发现底层不是基岩，是另一堆更旧的、没清理干净的废弃逻辑。我们这行总爱说“升级就能解决”，其实哪次升级不是拿新锅盖旧灶？上次改Composer版本，顺手升了doctrine/dbal，结果它默认禁用了allow_local_infile，搞得备份脚本连不上本地MySQL实例，整晚都在排查路径权限。而真正的SQL注入？它从来不在报错日志里显形，它躺在慢查询日志第27页，夹在两条“SELECT COUNT() FROM session WHERE expire > …”中间，像个幽灵。

　　我桌上那包烟只剩最后一支，火机打不着，按了八次。窗外雨小了，电钻声换成了砸墙的闷响。老张刚才在群里说：“我司友链掉了一百零七个，查了两周，确认全是我链接你那三个页面惹的祸。” 我没回。反正明天先把手上那批页面删一半试试。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!