PHP防SQL注入：三层硬核防御体系

　　去年十一月，老陈把新接手的项目甩给我时，我正盯着家长群弹出的那条长语音——李女士又在问“为什么我家孩子这次作业没全对”，消息框占了半个屏幕。老陈叼着根没点燃的烟，敲了敲我桌子：“这系统的PHP后端，防注入得重新做，上家被黑过三次。”我抬头看他，他补了句：“别用那些网上抄的方案，得硬核。”

　　硬核？我第一反应是笑。上周刚给隔壁班讲完“如何用正则表达式过滤用户输入”，粉笔断了三根，后排那个转铅笔的王浩把笔杆甩到讲台上，水杯里的水溅了我半裤腿。但老陈的“硬核”不是玩笑——他指了指窗外，除草机轰隆隆响着，草屑飞进窗户，落在我的键盘上。“第一层防御，预处理语句。”他说，“别用mysqli_query直接拼SQL，用PDO或者mysqli_prepare，参数绑定。”我点头，这招我懂，但之前总觉得麻烦——写个查询要多写十行代码，测试时还得检查参数类型，没几个项目愿意真落实。

　　老陈看出我的犹豫，翻开他的笔记本：“去年我接手个电商系统，原开发用字符串拼接SQL，结果被注入删光了订单表。后来重构，全改预处理，到现在没再出过事。”他顿了顿，“但光这层不够。”窗外除草机停了，草屑还在飘，我闻到点焦味——可能是机器过热。“第二层，存储过程。”他说，“把SQL逻辑封装在数据库里，应用层只传参数，连表名都不给暴露。”我皱眉：“存储过程性能不是不好吗？”老陈笑：“那是老黄历了，现在MySQL的存储过程优化得不错，关键是切断直接操作表的路径。”他掏出手机，翻出张截图：“看，这项目用存储过程后，攻击日志里没几条SQL注入的记录。”

　　我盯着截图，突然想起上周开会的场景——张主任在台上讲“如何提升学生成绩”，后排几个老师把书立起来挡着打瞌睡，粉笔灰落在他们头发上，像撒了层灰。当时我就想，有些事，光靠“应该”没用，得真刀真枪上手段。老陈的“两层防御”听起来靠谱，但我还是有点慌——万一有漏呢？比如参数绑定没做好，或者存储过程被绕过？

　　老陈似乎看穿了我，敲了敲桌子：“第三层，Web应用防火墙。”他指了指我电脑上的Nginx配置：“WAF能拦截大部分恶意请求，比如含‘UNION SELECT’的，或者参数里带特殊字符的。我之前用ModSecurity，规则库定期更新，连XSS都能防。”我原以为WAF只是辅助，结果老陈说：“这层是最后一道闸，前两层漏的，它能补上。”他翻到笔记本最后一页，指着张表格：“看，这三层组合，攻击成功率能从70%降到不到5%。”

　　但我还是有点虚。上周给小周讲题，他总问“为什么不能直接算”，我解释了三遍“步骤不能跳”，结果他考试还是错了——有些事，知道和做到是两码事。老陈的“三层防御”听起来完美，但实际用起来呢？比如预处理语句，如果参数类型没严格校验，会不会被绕过？存储过程如果权限没设好，会不会被直接调用？WAF规则如果没及时更新，会不会漏掉新攻击方式？

　　老陈没直接回答，而是讲了个事：“去年我带的新人，小吴，觉得预处理麻烦，偷偷改回字符串拼接。结果上线两周，数据库被删了一半。”他顿了顿，“后来我让他重写，每天检查他的代码，现在他写预处理比我还溜。”我笑：“你这是‘逼着学’啊。”老陈摇头：“不是逼，是让他知道，省那点时间，可能赔上整个项目。”

　　我突然想起已经毕业的小林——那孩子总偷懒，作业抄同学的，考试靠小抄。我原以为他没救了，结果高考前三个月，他突然开始拼命，每天最早到教室，最晚走。最后考了班里中游，去了个二本。后来他给我发消息：“老师，我以前觉得‘差不多’就行，现在才知道，差一点，可能就全完了。”

　　老陈的“三层防御”也是这道理——优胜劣汰。预处理、存储过程、WAF，每层都在筛，筛掉懒的、筛掉侥幸的、筛掉“差不多就行”的。我原以为防注入只要“过滤输入”就行，结果老陈用十一年的经验告诉我：得硬核，得三层，得让攻击者连门都摸不到。

　　现在这系统上线三个月了，攻击日志里没一条SQL注入的记录。老陈偶尔路过我工位，会瞥一眼我的屏幕：“预处理语句写全了没？”“存储过程权限设好了没？”“WAF规则更新了没？”我点头，他笑：“这就对了，省那点时间，可能赔上整个项目。”

文章配图，仅供参考

（编辑：52站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!