PHP安全编码三大致命漏洞避坑指南

　　掘金这地方，连吐槽都得带点“技术复盘体”，行吧——就当是给内网通报打草稿。昨天在监控大屏前盯第三杯咖啡凉透那会儿，老张甩过来一个工单：某库某表的user_id字段被注入进了一串base64_decode('Zm9v')，后面跟着十六个select 1 from pg_sleep(3)。不是SQLi——是二次渲染时的eval()硬解。我原以为只是模板引擎没关掉php代码执行，结果翻到vendor/autoload.php里发现，有人把laravel/framework的3.2分支打了patch补丁，但漏掉了ViewCompiler的escape_filter逻辑回滚……这玩意儿2026年5月还在跑？

　　着什么急。真要着急早该三年前就删掉那个自研的ConfigLoader类。现在还挂着——它接受GET参数拼接路径，再file_get_contents()读取，最后用json_decode($content, true)塞进$GLOBAL。上个月小王说“加了白名单”，我说你白名单校验放哪儿了？他发截图，校验在json_decode之后。我直接截了图丢进群聊：“兄弟，你校验的是解码后的键名，不是原始payload”。群里静了十八秒。后来他撤回，换了个链接——是CI流水线里跳过测试的PR描述，写着“临时绕过，上线后补”。这PR合并时间是凌晨两点十七分，commit hash开头是a1f7b。

　　监控大屏的绿光太晃眼。尤其是error_log那行红字闪起来的时候——不是报错级别，是warning，但每分钟两千次。查日志发现是session_start()之前调用了setcookie()，触发headers already sent；但真正炸锅的是，这个warning导致$_SESSION写入失败，而业务代码又没判isset($_SESSION['uid'])，直接fallback到$_GET['uid']……于是，那个藏在URL里的uid=123456%27%20UNION%20SELECT%20… 就顺顺利利进来了。我不是说不该用$_GET做uid传参——我们当年在IDC机房里用$_GET干过更疯的事。但你得清楚，这个请求进来之后，会不会经过filter_var($x, FILTER_SANITIZE_NUMBER_INT)，还是直接concat进SQL字符串里喂给mysqli_query。后者我们叫“吃raw”。

　　冷眼看着某些人把php.ini里的disable_functions列成三百七十二个函数，然后在代码里exec('curl -s ' . $_GET['url'])——中间连个escapeshellarg都不带。这事儿上周刚复现过：安全组扫描扫出webshell，溯源发现是CMS后台插件上传zip包，解压时调用ZipArchive::extractTo()，没校验内部文件名。其中一个文件叫“../../../../var/www/html/shell.php”，另一个叫“../../../tmp/202605_nginx_access.log”。第三个其实没解出来，卡在open_basedir限制里了。我敢打包票，那个open_basedir的值是'.'，不是'/var/www/html'。因为上周重启PHP-FPM时，我在conf.d/99-sec.ini里改过，但忘了reload，只做了restart。所以生效的还是旧配置。

　　跟人吵架吵到一半，发现对面是我徒弟。他站那儿拿个U盘插着笔记本，说“老师你看，我把所有用户输入都urlencode过了”。我说好，那你urlencode完再放进unserialize()里试试？他愣住。我说别试了，你urlencode只是让序列化字符串里不出现分号和花括号，不代表不能构造恶意pop链。他低头戳U盘盖子，咔哒一声。我忽然想起来，2026年5月我们搞过一次恢复演练——某库某表误删，从备份恢复花了二十一分钟三十四秒，比SLO宽限还多八秒。当时DBA说：“怪不得备份脚本里没加--single-transaction”。我说不怪，怪当初建库时innodb_flush_log_at_trx_commit=2，谁写的文档都没提这个隐患。

文章配图，仅供参考

　　碎片拼起来的——这话题本身就没法讲圆。所谓“三大致命漏洞”，不过是每次攻防演练后复盘会上大家拍脑门排的序。去年说是XSS、RCE、反序列化；今年换成SSRF、类型混淆、phar://伪协议。其实本质就一个：信任边界塌方。但没人敢这么写标题，怕被运营打回来重拟。所以只能凑三大——凑数时把preg_replace('/e')塞进去，算一个；把exif_read_data()的JPEG头部解析算一个；剩下那个，就填个“动态函数调用无白名单”。填得随意，删得也随意。比如我上个月在review代码时，看到一段foreach ($funcs as $f) { $f(); }，底下注释写着“白名单已审计”，但白名单数组是空的。我写了comment：“此处应有assert(count($whitelist)>0);”——第二天，这个assert变成注释，注释变成// 待验收。

　　无所谓。反正明年这个时候，新来的实习生会问：“为什么这个项目不用PDO预处理？”我就给他看那段mysql_connect()+mysql_query()混搭的代码，告诉他：“因为当年上线那天，DBA还没配好PDO驱动，老板说‘先跑通’”。这话我信，但我信不信它能不能继续跑通？我说不准。不过我现在确认一件事：那个凌晨两点十七分的PR，作者小王，今天休年假去了。工单系统自动转给二线支持，二线支持点了“暂归档”，备注：“待开发确认”。我点了“已验证修复”，然后关掉tab。第三杯咖啡底渣在纸杯里结成淡褐色块状物，像某种未命名的缓存。

　　下一步？下周约安全组碰下，把vendor目录里那个三年没更新的smarty版本，升级到3.1.41。不是因为漏洞修复，是因为新版把registerPlugin()默认禁了，至少能拦住一半手抖写的{php}标签。其他——随缘。真的，我试过拉群对齐口径，结果群里先是沉默，然后冒出一行：“PHP要死了吗？”没人答。我退出来，顺手关掉了监控大屏电源。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!