PHP 常见漏洞有哪些

你可能听过“网站被黑客入侵”“数据泄露”这类新闻，很多时候背后的原因和网站用的编程语言有关。现在很多中小网站、电商后台都在用PHP搭建，但不少开发者因为对PHP的常见漏洞不熟悉，一不小心就给网站埋下了安全隐患。今天咱们就用生活化的例子，把这些漏洞拆解得明明白白。

代码注入：给“听话的程序”递错指令

假设你家有个智能音箱，只会执行你说的“打开灯”“播放音乐”，如果有人故意说“打开灯；删掉客厅的所有照片”，音箱没判断指令的合理性，就真的会执行删除操作——这就是代码注入的原理。

PHP里最常见的是SQL注入，比如你在网站的搜索框输入“查询用户”，程序会把你的输入拼进数据库查询语句里。如果有人输入“'; DROP TABLE users; --”，程序会直接把这段破坏语句和正常查询拼在一起，把用户表删掉。很多新手开发者图方便，直接用用户输入拼SQL，没加过滤，就给了黑客可乘之机。

文件上传漏洞：让“不该进家门的文件”混进来

你网购时，商家让你上传收货地址的照片，网站会检查照片格式；但如果网站没做严格限制，有人上传一个改名成“avatar.jpg”的PHP脚本文件，再把这个文件通过网站漏洞传到服务器上，就能直接执行恶意代码，甚至拿到服务器的控制权。

举个例子：你用的网盘如果没限制文件类型，有人上传一个“病毒.exe”改名为“风景.jpg.exe”，系统只看后缀就放行，打开就会中毒。PHP的文件上传漏洞也是这个道理，要是只检查文件名后缀，不验证文件的真实内容，就容易被钻空子。

跨站脚本（XSS）：把“恶意消息”塞给所有访客

假设你在一个留言板里输入“<script>alert('你的cookie已被盗')</script>”，如果网站没过滤这段代码，其他访客打开这个留言板时，浏览器会自动执行这段代码，把用户的登录信息（也就是“cookie”）偷发给黑客。

就像你在班级黑板报里写了一句隐藏的话，其他同学看黑板报时，这句话会偷偷触发一个动作——比如把你的铅笔拿走。XSS漏洞就是这样，黑客把恶意代码藏在网页里，所有访问这个网页的人都会中招。

配置错误：给“外人”留了不该有的“后门”

很多开发者搭建PHP网站时，会用默认配置，比如把PHP的错误信息设置成直接显示在网页上。如果网站出了错，比如数据库连不上，页面会显示“数据库连接失败，用户名是root，密码是123456”，黑客看到这些信息，就能直接登录数据库。

还有的开发者把网站的文件夹设置成“所有人都能访问”，比如把存用户照片的文件夹设成“允许下载”，黑客随便就能把照片偷下来。就像你家大门没关，客厅的门也没锁，坏人自然能随便进。

知道了这些漏洞，只要做好对应的防护，就能给网站加个安全锁：比如用预编译语句防SQL注入，严格检查上传文件的内容，过滤用户输入防XSS，修改PHP的默认配置关闭错误显示。毕竟，网站安全不是靠“碰运气”，而是靠这些具体的细节。