PHP安全编码三大致命坑：90%开发者踩过

　　去年暑假，我在深圳南山那栋玻璃幕墙的写字楼里，蹲点跟访一家做 SaaS 工具的 PHP 团队，就为搞清他们上线后三天内反复 502 的根子——不是服务器崩了，是 nginx 日志里每分钟都在刷一条“upstream prematurely closed connection”，但 PHP-FPM 进程明明还活着。

文章配图，仅供参考

　　第五次重启 PHP-FPM 后，我盯着 error_log 里那段报错反复看，突然发现 timestamp 里有一行夹在中间的 warning：preg_replace(): The /e modifier is deprecated。可他们代码库里根本没用 /e——直到翻到 vendor/phpoffice/phpspreadsheet/src/Shared/OLERead.php 第八十七行，一个被注释掉但没删的旧版正则……居然还在 autoload 里被加载了。我也不知道它怎么活下来的，反正就是活了。

　　最要命的是第三处：他们把所有用户 POST 过来的 JSON 数据，先 json_decode($raw, true)，再 foreach 循环里用 $key 当数组下标去写数据库字段——比如前端传 {"user_id":"123','123); DROP TABLE users; -- "}，后端直接 unpack 成 ['user_id' => "123','123); DROP TABLE users; -- "]，再 $sql = "INSERT INTO logs (user_id) VALUES ('{$val}')" ……你猜那个 $val 有没有被引号包住？没有。有谁检查过？没有。监控告警？只盯 CPU 和内存。我数过三次，他们在三份不同文档里都写了“已校验输入”，其实校验的是长度和是否为 JSON 格式。

　　那天傍晚五点四十一分，又一轮 502 爆出来，运维老周抓着耳机吼：“PHP 进程自己挂的，不是我杀的！”——我盯着他显示器右上角的时间戳，突然想起上周茶水间听见他说“这版上线后老板说要推裂变”，后来我就没再追问。

　　（他工位抽屉里有半盒未拆封的薄荷糖，印着“深圳湾实验室”logo）

　　（我手机备忘录里记着：7月18号下午三点，隔壁组借走两台 Mac mini，至今未还）

　　说实话，我没跟他们讲什么叫 CVE-2012-1823，也没提 OWASP Top 10——真没必要。就那三个地方，只要其中一处动了手，502 就不会在凌晨两点准时来打卡。可偏偏没人碰。不是不知道，是改了不计工时，不改能上线，线上出事算 P0，但 P0 响应是运维的事。我原以为是培训不到位，结果看见他们钉钉群置顶消息是“8月绩效自评模板V3.2_终稿_最终确认版”。

　　现在回想起来，优胜劣汰这话真不是虚的——不是淘汰技术差的，是淘汰不把安全当编译错误来处理的。编译不过就卡在 CI，可 sql 注入、命令注入、反序列化绕过……这些玩意儿根本不在 CI 检查项里。它们安静地躺在代码里，等某个周末凌晨三点，用户恰好传了个带单引号的手机号，又恰好触发了某段三年前抄来的轮子，又恰好那天数据库没备份。

　　有谁碰到过这个吗

（编辑：航空爱好网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!