PHP反馈表单屏蔽不良内容问题及代码合理性确认

可运行代码的常见潜在问题 #

• 大小写/字符变形绕过：如果代码只做精确匹配，用户输入大小写混合（如"垃J圾"）、全角字符（如"垃　圾"）或插入空格的变形内容，就能绕过检测。
• 过度拦截误判：若屏蔽词是短词汇（如"色情"），用户输入"色情内容举报"这类正常表述也会被误拦，影响用户体验。
• 违规链接检测失效：仅检测固定域名或完整http://前缀的话，短链接、IP地址、用hxxp/httx替换协议头的变形链接都会逃过检测。
• SQL注入风险：如果存入数据库时未对用户输入做转义或参数绑定，即使有内容屏蔽，仍可能被注入攻击。
• 屏蔽词维护成本高：硬编码在代码里的屏蔽词，后续新增、删除或修改都要改动代码，无法快速响应新的违规内容。

针对性优化方案 #

1. 强化内容匹配逻辑

   • 统一处理输入格式：转小写、过滤空格、全角转半角，消除变形绕过空间：

     // 预处理用户输入：转小写+去空格+全角转半角
     $processedInput = strtolower(preg_replace('/\s+/', '', mb_convert_kana($_POST['content'], 's')));
     

   • 用正则边界匹配避免误判（中文需加u修饰符确保Unicode支持）：

     foreach ($badWords as $word) {
         // 转义正则特殊字符，添加单词边界
         $pattern = '/\b' . preg_quote($word, '/') . '\b/u';
         if (preg_match($pattern, $processedInput)) {
             $hasBadContent = true;
             break;
         }
     }
     

2. 完善违规链接检测

   • 用正则匹配所有常见URL格式，包括变形协议头：

     $urlRegex = '/(hxxp|http|https|ftp|ftps):\/\/[^\s]+|(\d{1,3}\.){3}\d{1,3}/i';
     if (preg_match($urlRegex, $_POST['content'])) {
         // 可进一步校验域名是否在允许的白名单内
         $hasBadContent = true;
     }
     

3. 数据库安全加固

   • 必须使用参数绑定而非直接拼接SQL，以防范注入：

     // PDO示例
     $pdo = new PDO('mysql:host=localhost;dbname=your_db', 'user', 'pass');
     $stmt = $pdo->prepare("INSERT INTO feedback (content, created_at) VALUES (:content, NOW())");
     $stmt->bindParam(':content', $_POST['content']);
     $stmt->execute();
     

4. 简化屏蔽词维护

   • 将屏蔽词存入数据库表，动态读取，支持后台管理：

     // 从数据库加载屏蔽词
     $badWords = $pdo->query("SELECT word FROM forbidden_words")->fetchAll(PDO::FETCH_COLUMN);
     

用户体验优化 #

• 错误提示避免泄露具体屏蔽规则，统一提示：* 您的输入包含违规内容，请修改后重新提交

内容的提问来源于stack exchange，提问作者Ashif Risal CT