PHP 安全规则

严重 CWE-89

用变量拼接 SQL（SQL 注入）

把输入拼接进 SQL，攻击者就能改写查询本身，读取、修改或删除数据库中的任何数据。预处理语句将查询与参数分开发送，输入永远不会变成 SQL。

了解更多 →

严重 CWE-78

执行 Shell 命令

传给 Shell 的输入可以用 ; 或 | 等字符追加命令，让攻击者控制服务器。请严格校验输入，并对每个参数进行转义。

了解更多 →

严重 CWE-95

使用 eval() 执行代码

eval() 会执行收到的任何 PHP 代码。只要字符串中有一部分来自请求，攻击者就能在你的服务器上运行自己的代码。

了解更多 →

严重 CWE-95

preg_replace 使用 /e 修饰符

/e 修饰符会把替换内容当作 PHP 代码执行。它已在 PHP 7 中移除，仍在使用的代码在旧服务器上很危险，在新服务器上则无法运行。

了解更多 →

严重 CWE-98

根据用户输入包含文件

用请求数据拼接 include 路径，攻击者就能加载系统文件、藏有 PHP 的上传图片或远程代码，这是服务器被完全接管的最快途径之一。

了解更多 →

中 CWE-98

用变量构造包含路径

用变量构造的 include 路径只有在变量绝不包含用户输入时才安全。值往往来自上游代码中的请求，务必确认。

了解更多 →

严重 CWE-502

对不可信数据使用 unserialize()

unserialize() 可以创建任意对象，攻击者会串联现有类（gadget 链）来删除文件或执行代码。JSON 只会生成普通数据。

了解更多 →

高 CWE-621

对请求数据使用 extract()

extract() 会把每个请求字段变成变量，攻击者只需在表单中加一个字段就能覆盖 $is_admin 之类的变量。

了解更多 →

高 CWE-79

未转义的用户输入输出（XSS）

直接输出用户输入，攻击者注入的脚本就会在访客浏览器中运行，窃取会话或篡改页面。转义会把特殊字符变成无害的文本。

了解更多 →

中 CWE-601

开放重定向

攻击者会发送你可信域名下的链接，把访客直接跳转到钓鱼页面。

了解更多 →

高 CWE-22

根据用户输入访问文件

../ 之类的序列能让请求跳出预期目录，读取配置文件、密钥或源代码。

了解更多 →

高 CWE-434

使用原始文件名保存上传

保留原始文件名，攻击者就能把 shell.php 上传到公开目录并执行。随机文件名、真实类型校验以及存放在网站根目录外可以阻止这种攻击。

了解更多 →

中 CWE-916

使用了 md5() 或 sha1()

md5 和 sha1 计算很快，泄露的密码哈希可以每秒数十亿次地被破解。password_hash() 刻意设计得很慢并自带盐值。

了解更多 →

低 CWE-338

可预测的随机数

rand()、mt_rand() 和 uniqid() 都可被预测。密码重置、会话或 CSRF 令牌必须使用密码学安全的随机源。

了解更多 →

中 CWE-295

关闭了 SSL 证书校验

关闭证书校验后，网络路径上的任何人都能冒充你调用的 API，读取或篡改数据，包括 API 密钥。

了解更多 →

中 CWE-200

phpinfo() 暴露服务器信息

phpinfo() 会暴露 PHP 版本、文件路径、已加载模块和环境变量，成为攻击者选择漏洞利用方式的地图。

了解更多 →

中 CWE-209

代码中开启 display_errors

展示给访客的错误信息会暴露文件路径、SQL 查询，有时甚至是凭据。

了解更多 →

低 CWE-215

调试输出请求数据

直接输出请求数据，任何访问该页面的人都可能看到密码、令牌和内部结构。

了解更多 →