PHP 安全指南
PHP 安全指南
除了 PHP2Shell，大多数 PHP 网站被入侵，都源自应用代码里几类常见的漏洞。这些指南用通俗的语言讲清楚每一类是什么、怎么在自己的代码里找、怎么修。
最近更新
常见 PHP 漏洞类型
- PHP 对象注入：是什么，怎么修当用户可控的输入进入 unserialize() 时就会发生 PHP 对象注入，它可以实例化对象，并通过魔术方法执行攻击者选定的逻辑。
- PHP 文件包含（LFI/RFI）：是什么，怎么修当用户输入控制了 include 或 require 的路径时就会发生文件包含，攻击者可以读取本地文件（LFI），在开启 allow_url_include 时还能运行远程代码（RFI）。
- PHP 中的 SSRF：是什么，怎么修当 PHP 应用请求一个由用户控制的 URL 时就会发生服务端请求伪造（SSRF），攻击者可以借你的服务器访问内网服务或云元数据接口。
- PHP 中的 XSS：是什么，怎么防当 PHP 页面把用户可控的数据不经转义输出到 HTML 时就会发生跨站脚本（XSS），攻击者的脚本会在其他访客的浏览器里运行。
- phpinfo() 暴露：为什么重要，怎么修公开的 phpinfo() 页面会泄露精确的 PHP 版本、已加载模块、文件路径，常常还有环境变量或密钥，帮攻击者瞄准 PHP2Shell 这类漏洞。
版本、发行版和相关公告
- 我的 PHP 版本还安全吗？PHP 7.4 到 8.5 的支持状态和 PHP2Shell 状态。
- PHP2Shell 各发行版修复对比Debian、Ubuntu、RHEL、SUSE、Alpine、Amazon Linux 的修复包版本。
- Magento SessionReaperAdobe Commerce 和 Magento 的 CVE-2025-54236：受影响版本和热修复。
- 相关安全事件eMudhra CA 密钥、CMS 木马、Packagist 供应链、OpenSSL。
来源
出站链接将离开本站。本站不托管利用代码。
- Cross Site Scripting Prevention Cheat Sheet — OWASP Cheat Sheet Series
- Server-Side Request Forgery Prevention Cheat Sheet — OWASP Cheat Sheet Series
- Supported Versions — PHP project (php.net)
- Security update available for Adobe Commerce | APSB25-88 — Adobe