PHP安全编码三大致命坑：9年架构师血泪总结
|
去年中秋，机房空调坏了，三台CRAC全报红，走廊里全是汗味和臭氧混合的焦糊气。我蹲在IDF柜前扒拉那台跑了七年还没退役的PHP-FPM实例——就那个跑着财务核验接口的——突然发现它用的是`mysql_connect()`硬连主库，密码明文塞在`/etc/php/conf.d/db.ini`里，连base64都没套一层。王工端着半凉的莲蓉月饼路过，问我“这服务重启过没”，我说“刚kill -9了”，他咬了一口饼渣掉在服务器导轨上，我伸手去掸，手背蹭到散热片烫出个红印。 第一个坑：把`$_REQUEST`当万能参数兜底。不是说`$_GET`和`$_POST`不干净，是它把`$_COOKIE`也一股脑灌进来——而去年七月上线的审计模块，前端传个`token=xyz`走header，后端却用`$_REQUEST['token']`去校验，结果攻击者用`?token=admin&Cookie: token=attacker`触发参数污染。我原以为Nginx的`underscores_in_headers on;`能拦住，结果它只拦下划线，不拦分号。这个我敢打包票，查了七遍源码，`php-src/main/rfc1867.c`里`php_rfc1867_post_handler`确实不校验cookie键名是否被重复注入。李薇昨天还在群里发截图，说她改了三版正则，最后发现PHP自己在`SAPI`层就把`Cookie`头拼进`$_REQUEST`了，根本没给中间件留缝。 第二个坑：`unserialize()`配`__wakeup()`当反序列化入口。上周三下午五点零七分，运维小张电话打进来：“核心支付回调崩了，日志里全是‘Trying to get property 'callback' of non-object’”。我捞出`/tmp/paylog_20230929.php`，发现里面存的是用户提交的订单数据，用`serialize()`存的，`file_get_contents()`读完直接`unserialize()`。但没人记得，那个回调逻辑里`CallbackHandler`类的`__wakeup()`里有段`file_put_contents($this->logpath, $this->debug)`，而`$this->logpath`来自`$_POST['logpath']`。窗外开始下雨，雨点砸在机房玻璃幕墙上像指甲刮黑板，我盯着屏幕右下角的十六秒倒计时（那是CI流水线自动清理临时文件的窗口），顺手把桌上那盒开封的椰汁推到显示器后面——瓶身还沾着半片干掉的月饼皮。
文章配图，仅供参考 第三个坑：PDO预处理语句的`PDO::ATTR_EMULATE_PREPARES`默认开。不是语法错，是MySQL协议层根本没走prepare，它把你写的`:name`替换成字符串再发给server——而那个替换，用的是`mysql_real_escape_string()`级别的弱逃逸。赵总监去年十月非要上灰度发布，说“TPS压测冲到三万八了，不能再等”，结果我们把`setAttribute(PDO::ATTR_EMULATE_PREPARES, false)`藏在`DbFactory::create()`的第七层构造里，直到审计方抓包看到`COM_QUERY`里明晃晃的`WHERE id = '1' OR '1'='1'`才拆开看。我说“这得重写SQL路由中间件”，他摆手：“你先修线上”。修完我盯着监控面板看了四十分钟，CPU毛刺从23%降到8%，可旁边同事接了个电话，笑出声说“他们家孩子奥数拿了全省第三”，我忽然想起我儿子书包里那张没签名的月考卷子，背面印着“新东方编程班试听课”广告。优胜劣汰？对。不是代码优劣，是人。能活过三次生产事故、两次审计通报、一次勒索邮件的，要么把`filter_var()`刻进脊髓反射弧，要么早就不碰PHP了。我见过两个团队，一个在CI里嵌`phpcs --standard=PSR12`卡提交，另一个连`composer install --no-dev`都要手动删`vendor/bin/psysh`。前者上周被安全组夸“边界清晰”，后者昨晚还在查为什么`getimagesize()`返回的width能是负数——因为攻击者上传了伪造EXIF头的PNG，而`exif_read_data()`在旧版本PHP里压根不校验`$size`字段的符号位。这事儿我说不准，毕竟没翻过`ext/exif/exif.c`的`exif_process_IFD_in_TIFF`函数里到底有没有`if (width < 0) width = 0`这一行。 其实还有第四个坑：信任`$_SERVER['HTTP_REFERER']`做来源限制。上个月市场部说H5活动页流量被盗刷，技术方案是“加referer白名单”。我就眼睁睁看着陈亮在`.htaccess`里写`RewriteCond %{HTTP_REFERER} !^https://our-domain\\.com [NC]`，然后被某个安卓WebView的UA骗过去——它根本不带Referer头。他敲回车时左手小指在键盘上弹了一下，像被静电打到了。我后来查了RFC 7231，section 5.5.2写得明明白白：“a server MUST NOT rely on it for authentication or authorization”。但文档归文档，他第二天还是上线了。我什么也没说。咖啡凉透了，杯底一圈褐色水渍在工位LED灯下泛着哑光。 你现在打开IDE，搜`unserialize(`，别管是不是`eval()`，先看看有没有漏掉的`__destruct()`里调远程URL的。或者直接删掉所有`$_REQUEST`引用，把`filter_input(INPUT_POST, 'x', FILTER_SANITIZE_STRING)`改成`FILTER_VALIDATE_INT`——哪怕它让前端多传五个字段。至于我？今晚回去先把`php.ini`里的`display_errors = Off`确认三遍，再检查一遍`error_log`路径权限。要是你看见我朋友圈转发了Laravel Security Checklist，别信，那是我助理代发的。我自己现在只信一行代码：`if (!is_int($id)) { http_response_code(400); exit; }`——别的，都等明天晨会再说。 （编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
