防范PHP URL参数恶意攻击的最佳实践及技术咨询

核心问题：简单页面展示还能使用URL参数吗？ #

当然可以。URL参数本身不是不安全的代名词，它的可分享、可收藏、对SEO友好这些特性，是$_SESSION方案没法替代的——总不能让用户分享Session ID来传商品链接吧？关键是要给URL参数加上足够的防护，而不是直接弃用。

针对当前攻击的具体防护手段 #

你遇到的是攻击者批量探测漏洞+IP轮换的资源消耗型攻击，单纯封IP肯定没用，得从以下几个层面入手：

• 速率限制：不管是用Nginx的limit_req模块，还是PHP层面结合Redis记录请求频率，给单个IP（或者用户会话）设置请求阈值，比如1分钟内最多允许30次商品页请求，超过就临时封禁10分钟。这样哪怕攻击者换IP，也没法短时间内发起大量请求。
• 严格校验商品ID：
  • 强制校验参数格式：比如商品ID是整数，就用$product_id = intval($_GET['product_id']);过滤，直接丢弃非整数的请求；
  • 数据库查询用预处理语句：比如用PDO的prepare绑定参数，彻底杜绝SQL注入风险，让攻击者的探测毫无意义。
• 抵御URL参数污染（UPP）：
  • 只读取你需要的参数：比如只处理$_GET['product_id']，别用$_REQUEST（它会合并GET/POST/COOKIE的参数，容易被污染）；
  • 拒绝多值参数：如果检测到同一个参数名出现多次（比如?product_id=1&product_id=2），直接返回400错误，或者只取第一个有效值；
  • 清理参数值：对参数值做 trim、过滤特殊字符，避免恶意构造的参数触发后端异常。

关于用$_SESSION替代URL参数的可行性 #

这个方案不适合普通商品展示场景，缺点非常突出：

• 用户没法直接分享商品链接，发给朋友的话对方打开的是自己Session里的内容，不是目标商品；
• 搜索引擎爬虫不会携带Session，商品页面完全没法被收录，直接废掉SEO，对电商网站来说损失巨大；
• 增加了会话管理的复杂度，比如用户打开多个标签页时，Session值会被覆盖，导致页面展示混乱。

只有当商品内容是用户专属、不可公开分享的（比如用户的订单详情、私密商品），才适合用Session来控制访问，普通公开商品完全没必要这么做。

总结 #

普通商品展示页面依然推荐使用URL参数，只要做好速率限制、参数校验、UPP防护这几点，就能有效抵御这类攻击。$_SESSION方案弊大于利，不建议用于公开的内容展示场景。

内容的提问来源于stack exchange，提问作者Burndog