最近在帮几位使用我们网站源码的站长排查问题，发现不少人在部署PHP项目时，对代码安全性的重视程度远远不够。尤其是那些直接拿PHP教程里的示例代码就上生产环境的，往往一个简单的SQL拼接漏洞就能让整站沦陷。今天这篇内容，我想结合日常审核设计素材和js代码时积累的经验，聊聊PHP防攻击的几个实用技巧。

一、为什么你的PHP代码总被盯上？

很多站长觉得“我网站小，没人攻击”，但实际情况是——黑客用扫描器批量扫全网IP，专挑老版本PHP或未过滤输入的表单下手。我见过一个只放了几套网站模板的展示站，因为搜索框没做转义，被注入了恶意iframe，最后整站被浏览器标记为危险站点。原因不是复杂漏洞，而是最基础的php代码规范没做到位。

1. 输入过滤：别相信任何$_GET和$_POST

写php代码时，最忌讳的就是直接拼接用户输入进SQL查询。举例：$sql = "SELECT * FROM users WHERE id = " . $_GET['id']; 这一行就足以让攻击者通过id=1;DROP TABLE users清空你的数据。正确做法是使用预处理语句（PDO或mysqli的prepare），或者至少用intval()强制类型转换。另外，对输出到HTML的内容也要用htmlspecialchars()过滤，防止XSS。

二、文件上传漏洞：最容易被忽略的后门

不少js代码和网站源码包里的上传功能只检查了文件扩展名，绕过的办法非常简单——改后缀为.php.jpg或直接上传.htaccess文件。一旦成功，相当于给黑客留了个WebShell后门。建议做三层校验：MIME类型检查、扩展名白名单、重命名文件（去掉执行权限）。同时，存储目录务必关闭PHP执行权限，在Nginx或Apache中配置php_flag engine off。

三、对比：安全配置vs. 性能优化

有些站长为了提速，把display_errors设为On，这等于把服务器路径、数据库结构直接印刷给攻击者看。建议生产环境强制display_errors=Off，日志记录到文件。另一方面，开启opcache能在不牺牲安全的前提下提升30%-50%的PHP执行效率，两者并不冲突。从我们平台下载的网站模板中，有一部分就自带安全基线配置，比如禁用危险函数（exec, system等）。

2. 会话与Cookie管理

不少php代码里session默认使用文件存储，且cookie不带HttpOnly和Secure标记。这导致攻击者能用JavaScript窃取session ID。我的建议是：设置session.cookie_httponly=1，并在登录接口增加session_regenerate_id(true)。另外，用设计素材里的验证码组件时，注意不要内置固定密钥，否则等于没有验证码。

四、日常维护建议

• 每月更新一次框架和第三方库，别用有已知CVE的旧版本
• 对上传目录做find -name "*.php" -delete定期清理
• 在Nginx层加WAF规则，拦截常见攻击特征
• 备份网站源码时，记得排除config.php等敏感文件

最后想说，安全不是一次性工作，而是和写js代码、调样式一样的日常习惯。从今天起，把你服务器上的PHP教程里那些老旧写法全部替换掉，用PDO替代mysql_query，用password_hash替代md5。这不会花你太多时间，但能省下未来无数个熬夜恢复数据的夜晚。