确认PHP防SQL注入登录脚本安全性，实现XSS防护方法

一、原SQL注入脚本的安全性确认 #

你找到的这个脚本确实能有效防范SQL注入，因为它使用了MySQLi的预处理语句（prepare()）和参数绑定（bind_param()）。这种方式会将SQL逻辑与用户输入完全分离，数据库会自动处理输入中的特殊字符，从根源上避免了SQL注入风险。

但脚本存在一个严重的安全漏洞：密码以明文存储并直接比较。明文密码一旦泄露会直接导致用户账号被盗，必须立即修复，改用密码哈希存储（比如PHP内置的password_hash()和password_verify()）。

二、整合XSS防护的具体实现 #

你的valid()函数已经包含了XSS防护的核心逻辑（htmlspecialchars()转义HTML特殊字符），只需在用户输入进入会话或输出到页面的节点调用即可，不会影响原有的SQL注入防护（预处理语句不受输入转义的影响）。

完整整合后的脚本 #

// XSS防护函数，优化参数确保单双引号都转义
function valid($info) {
    $info = trim($info); 
    $info = stripslashes($info);
    // 用ENT_QUOTES转义单双引号，提升防护强度
    $info = htmlspecialchars($info, ENT_QUOTES);
    return $info;
}

// 数据库连接（假设$con已正确初始化）
if ($stmt = $con->prepare('SELECT id, password FROM accounts WHERE username = ?')) {
    // 预处理绑定参数直接用原始POST值，不影响SQL注入防护
    $stmt->bind_param('s', $_POST['username']);
    $stmt->execute();
    $stmt->store_result();

    if ($stmt->num_rows > 0) {
        $stmt->bind_result($id, $hashed_password);
        $stmt->fetch();
        // 用password_verify验证哈希密码（替换原明文比较逻辑）
        if (password_verify($_POST['password'], $hashed_password)) {
            session_regenerate_id();
            $_SESSION['loggedin'] = TRUE;
            // 对用户名进行XSS防护后存入会话
            $_SESSION['name'] = valid($_POST['username']);
            $_SESSION['id'] = $id;
            // 输出时直接使用会话中的安全值
            echo 'Welcome ' . $_SESSION['name'] . '!';
        } else {
            echo 'Incorrect username and/or password!';
        }
    } else {
        echo 'Incorrect username and/or password!';
    }
    $stmt->close();
}

三、关键注意事项 #

• 密码哈希必须落实：用户注册时要用password_hash($_POST['password'], PASSWORD_DEFAULT)生成哈希值存入数据库，登录时用password_verify()验证，绝对不能存储或比较明文密码。
• XSS防护的核心原则：所有用户可控的内容，在输出到HTML页面时必须进行HTML转义。你可以选择在存入会话时转义（如示例），也可以在输出时调用valid()函数，两种方式都有效。
• 优化valid函数：原函数中stripslashes()仅在PHP版本低于5.4且开启magic_quotes_gpc时需要，现在大部分环境已默认关闭该配置，若不需要可移除，但保留也不会有负面影响。

内容的提问来源于stack exchange，提问作者want2lrn