PHP 安全攻防：防 SQL 注入、XSS、CSRF 的终极方案

// 危险代码：直接拼接用户输入
$id = $_GET['id'];
$sql = "SELECT * FROM users WHERE id = $id";
// 攻击者传入id=1 OR 1=1，SQL变为：SELECT * FROM users WHERE id = 1 OR 1=1 → 查询所有用户

// PDO方式（推荐）
$id = $_GET['id'];
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");
$stmt->bindParam(":id", $id, PDO::PARAM_INT);
$stmt->execute();

// 过滤HTML标签和特殊字符
$content = $_POST['content'];
$safeContent = htmlspecialchars($content, ENT_QUOTES, 'UTF-8');
echo $safeContent; // 输出：<script>alert('窃取cookie')</script>

// PHP添加头部
header("Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.jsdelivr.net; style-src 'self'");

<?php
// 1. 生成Token并存储到Session
session_start();
if (!isset($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32)); // 生成32位随机字符串
}

// 2. 前端表单嵌入Token
echo '<form action="submit.php" method="post">';
echo '<input type="hidden" name="csrf_token" value="' . $_SESSION['csrf_token'] . '">';
echo '<input type="text" name="content">';
echo '<button type="submit">提交</button>';
echo '</form>';

// 3. 后端验证Token
function checkCsrfToken() {
    session_start();
    if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
        die("CSRF验证失败");
    }
    // 验证通过，销毁旧Token（防止复用）
    unset($_SESSION['csrf_token']);
}

// submit.php中调用
checkCsrfToken();
// 处理表单逻辑
?>

// 加密密码
$password = '123456';
$hash = password_hash($password, PASSWORD_DEFAULT); // 自动生成盐值

// 验证密码
$inputPassword = '123456';
if (password_verify($inputPassword, $hash)) {
    echo "密码正确";
} else {
    echo "密码错误";
}

<?php
// RBAC（基于角色的访问控制）核心逻辑
class RBAC
{
    // 检查用户是否有某个权限
    public static function checkPermission($userId, $permission)
    {
        $pdo = new PDO("mysql:host=localhost;dbname=php_demo;charset=utf8", "root", "");
        // 用户→角色→权限关联查询
        $sql = "SELECT p.permission FROM permissions p
                JOIN role_permission rp ON p.id = rp.permission_id
                JOIN user_role ur ON rp.role_id = ur.role_id
                WHERE ur.user_id = ? AND p.permission = ?";
        $stmt = $pdo->prepare($sql);
        $stmt->execute([$userId, $permission]);
        return $stmt->fetch() !== false;
    }
}

// 使用示例
$userId = 1;
if (RBAC::checkPermission($userId, 'order:create')) {
    echo "有权限创建订单";
} else {
    echo "无权限";
}
?>