如何避免URL数据杜撰？PHP安全防护技巧分享

在PHP中,防止用户通过URL杜撰提交数据（如改动GET参数或杜撰POST请求）主要涉及以下几个关键策略：

严格区分请求类型

• 强制使用POST提交敏感操作

  在服务端验证请求方法，确保关键操作只接受POST请求： if ($_SERVER['REQUEST_METHOD'] !== 'POST') { header('HTTP/1.1 405 Method Not Allowed'); exit('此操作仅支持POST请求'); }

验证表单令牌（CSRF Token）

• 生成并存储Token

  在表单中嵌入唯一令牌，提交时验证：

• 在表单中隐藏Token

  <form action="process.php" method="POST"> <input type="hidden" name="csrf_token" value="<?= $_SESSION['csrf_token'] ?>"> <!-- 其他表单字段 --> </form>

• 提交时验证Token

  

  session_start(); if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) { die('CSRF令牌验证失败！'); } // 验证后销毁Token（可选） unset($_SESSION['csrf_token']);

关键操作需身份验证

• 检查用户登录状态

  确保用户已登录且有权执行操作：

  

  session_start(); if (!isset($_SESSION['user_id'])) { die('请先登录！'); }

---

数据完整性校验

• 使用签名验证参数

  为敏感参数生成签名，防止改动：

  // 生成签名（密钥仅服务端知道） $secret = 'your_secret_key'; $data = ['user_id' => 123, 'action' => 'delete']; $signature = hash_hmac('sha256', http_build_query($data), $secret); // URL示例：action.php?user_id=123&action=delete&sign=xxx // 服务端验证签名 $receivedSig = $_GET['sign'] ?? ''; unset($_GET['sign']); $expectedSig = hash_hmac('sha256', http_build_query($_GET), $secret); if (!hash_equals($expectedSig, $receivedSig)) { die('数据签名不匹配！'); }

---

输入过滤与验证

• 严格校验所有输入

  使用过滤函数确保数据合法：

  

  $email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL); if (!$email) { die('邮箱格式无效'); } $age = filter_var($_POST['age'], FILTER_VALIDATE_INT, [ 'options' => ['min_range' => 18, 'max_range' => 100] ]);

---

避免直接使用$_REQUEST

• 明确使用$_GET或$_POST

  $_REQUEST可能包含Cookie等不可信数据，优先指定来源： // 明确使用POST数据 $input = $_POST['data'] ?? null;

---

关键操作限制频率

• 防止暴力请求

  使用验证码或限制IP请求频率： // 简单验证码示例 session_start(); if ($_POST['captcha'] !== $_SESSION['captcha_code']) { die('验证码错误'); }

---

小编总结最佳实践

策略	防护目标	代码示例
强制POST请求	防止URL直接改动参数	if ($_SERVER['REQUEST_METHOD'] !== 'POST')
CSRF Token	防跨站请求杜撰	会话存储Token + 表单隐藏字段
参数签名	防数据改动	hash_hmac('sha256', $data, $secret)
输入过滤	防非法格式数据	filter_var() / filter_input()
身份验证	确保用户合法性	isset($_SESSION['user_id'])

额外建议：

• 对所有输出进行HTML转义（htmlspecialchars()）防XSS攻破
• 使用HTTPS传输敏感数据
• 关键操作（如支付、删除）添加二次确认（密码/短信验证）