记录MySQL错误时遭遇ModSecurity拦截的问题求助

这是不是SQL注入误判？ #

不是SQL注入误判，是ModSecurity触发了敏感信息泄露拦截规则（ID361022）。MySQL的原始错误信息（比如语法错误、字段不存在提示）可能包含表名、字段名、SQL结构等敏感内容，ModSecurity会将这类输出判定为潜在的信息泄露风险，因此拦截了响应并返回404，和SQL注入检测无关。

正确记录这类错误的方案 #

• 脱敏处理原始错误信息
  不要直接存储或展示$wpdb->last_error的原始内容，提取关键错误类型后转换成友好、安全的提示：

  // 捕获并处理MySQL错误
  if (!empty($wpdb->last_error)) {
      if (str_contains($wpdb->last_error, 'Unknown column')) {
          $safe_error = '数据库字段配置缺失';
      } elseif (str_contains($wpdb->last_error, 'Duplicate entry')) {
          $safe_error = '数据重复，无法添加';
      } else {
          $safe_error = '数据库操作失败，请联系管理员';
      }
      // 存储处理后的安全错误信息
      $wpdb->insert('your_error_log_table', ['error_msg' => $safe_error]);
  }
  

• 分离开发日志与编辑端展示
  如果需要保留原始错误供开发排查，将原始日志单独存储，仅对管理员开放查看权限，编辑人员只看到脱敏后的提示：

  // 同时存储脱敏提示和原始错误
  $wpdb->insert('your_error_log_table', [
      'display_msg' => $safe_error,
      'raw_error' => $wpdb->last_error, // 仅管理员可见
      'is_admin_only' => 1
  ]);
  // 查询时只返回编辑人员可见的内容
  $logs = $wpdb->get_results("SELECT display_msg FROM your_error_log_table WHERE is_admin_only = 0");
  

• 针对性禁用ModSecurity规则
  仅在插件的后台页面禁用触发的规则，避免全局关闭影响安全：
  在站点根目录的.htaccess中添加：

  <IfModule mod_security2.c>
      # 仅针对你的插件后台日志页面
      SecRule REQUEST_URI "@beginsWith /wp-admin/admin.php?page=your-plugin-log-page" \
          "id:1000,phase:2,pass,nolog,ctl:ruleRemoveById=361022"
  </IfModule>
  

• 使用独立日志文件记录原始错误
  把原始MySQL错误写入服务器日志文件，不通过后台页面输出：

  if (!empty($wpdb->last_error)) {
      // 写入自定义日志文件
      $log_file = WP_CONTENT_DIR . '/plugin-db-errors.log';
      error_log(date('[Y-m-d H:i:s] ') . $wpdb->last_error . PHP_EOL, 3, $log_file);
      // 存储脱敏提示到数据库供编辑查看
      $wpdb->insert('your_error_log_table', ['error_msg' => '数据库操作异常']);
  }
  

• 输出前转义与过滤
  如果必须展示部分错误内容，用WordPress自带的转义函数处理，同时替换敏感关键词：

  foreach ($logs as $log) {
      // 替换SQL标识符为占位符
      $clean_msg = preg_replace('/`([a-zA-Z0-9_]+)`/', '[标识符]', $log->error_msg);
      // HTML转义避免XSS和触发WAF规则
      echo esc_html($clean_msg);
  }
  

内容的提问来源于stack exchange，提问作者Regnalf