由 dawei PHP应用常因输入处理不当成为攻击入口，SQL注入、XSS、命令执行等风险频发。构建安全架构的核心在于“默认拒绝”与“深度防御”，而非依赖单点防护。
参数化查询是抵御SQL注入的黄金标准。所有数据库操作必须使用PDO或MySQLi的预处理语句，禁用字符串拼接SQL。例如：$stmt = $pdo->prepare(\”SELECT FROM users WHERE id = ?\”); $stmt->execute([$id]); 即便$id来自$_GET，也不会触发注入。
输入过滤需分层实施：接收时仅做类型校验（如filter_var($email, FILTER_VALIDATE_EMAIL)），存储前不转义，输出时按上下文编码——HTML内容用htmlspecialchars($str, ENT_QUOTES, ‘UTF-8’)，JS内嵌用json_encode()，URL参数用urlencode()。混淆“过滤”与“转义”场景是常见误操作。
关键配置须强制加固：php.ini中关闭display_errors（生产环境设为Off），启用open_basedir限制文件访问范围，禁用危险函数（disable_functions = exec,passthru,shell_exec,system,proc_open,popen）。web服务器层面也应禁止解析PHP以外的扩展名（如.jpg.php）。
会话安全不容忽视。设置session.cookie_httponly = 1、session.cookie_secure = 1（HTTPS环境）、session.cookie_samesite = Strict，并在登录后调用session_regenerate_id(true)防止会话固定。敏感操作（如密码修改）须二次验证用户身份。
最小权限原则贯穿始终：数据库账号仅授予所需表的CRUD权限，Web进程以非root用户运行，上传目录禁止执行PHP且独立于Web根目录。定期扫描依赖组件（如Composer包）的CVE漏洞，使用sensiolabs/security-checker等工具。
AI设计，仅供参考
安全不是功能而是习惯。每处外部输入（GET/POST/COOKIE/HEADER/FILES）都视为潜在威胁；每次数据库交互都走预处理；每次输出都明确上下文。自动化测试需包含OWASP ZAP扫描与自定义模糊测试，将安全检查纳入CI/CD流水线，让防御能力可验证、可持续。