如何安全处理file_get_contents('php://input')？安全考量与数组净化问题

一、使用 file_get_contents('php://input') 的安全要点 #

• 管控请求体大小：php://input 会读取完整的请求内容，攻击者发送超大请求体可能引发内存溢出或DoS攻击。建议通过PHP配置upload_max_filesize和post_max_size限制整体请求大小，代码层面也可先检查$_SERVER['CONTENT_LENGTH']，超过阈值直接拒绝请求。
• 校验请求合法性：只处理预期的请求类型，比如示例里的POST请求，且要验证Content-Type是否为application/json。非JSON格式的请求不仅会导致json_decode失败，还可能携带恶意数据。
• 注意流的一次性特性：php://input是单向流，读取一次后就无法再次读取，所以要确保代码逻辑里只读取一次，避免后续依赖该数据的环节出错。
• 严格校验解码结果：即使读取了请求体，也要像示例里那样检查json_decode的返回值是否为预期类型（比如数组），畸形JSON或恶意构造的内容可能导致解码失败，必须提前拦截。

二、$columns 能否直接安全使用？ #

绝对不能直接用。就算通过了数组校验，$columns里的所有数据都是用户可控的原始输入，直接用于数据库查询、页面输出、命令执行等场景，会触发SQL注入、XSS、命令注入等严重安全问题。

三、是否需要 sanitizeArray 这类函数？PHP有内置吗？ #

需要根据后续的使用场景做针对性的数据清洗，但PHP没有内置通用的sanitizeArray函数——因为不同场景的安全规则差异极大：

• 数据库查询场景：别手动清洗数组，直接用PDO或mysqli的预处理语句绑定参数，这是防范SQL注入的最可靠方式。
• HTML页面输出场景：要对数组里的每个字符串值做HTML转义，可自己封装递归处理函数，比如：

function sanitizeForHtml($data) {
    if (is_array($data)) {
        return array_map('sanitizeForHtml', $data);
    } elseif (is_string($data)) {
        return htmlspecialchars($data, ENT_QUOTES, 'UTF-8');
    }
    return $data;
}

• 命令执行场景：绝不直接使用用户输入作为命令参数，如果必须传递，要用escapeshellarg()处理每个参数，或者尽量避免从用户输入获取命令参数。

内容的提问来源于stack exchange，提问作者aboyce