密码含连续特殊字符触发ModSecurity SQL注入误报求助

核心问题是ModSecurity OWASP CRS 3.3.2规则误判包含连续特殊字符的密码为SQL注入，你的代码本身是安全的（使用了预处理语句+参数绑定，完全不存在SQL注入风险），测试环境未触发是因为测试环境未启用相同的ModSecurity防护规则，和Connections文件夹的位置无关。

具体解决方案 #

1. 添加ModSecurity例外规则（推荐） #

针对密码字段跳过SQL注入检测，在你的站点ModSecurity配置文件中添加以下规则：

# 排除密码重置请求中的newPassword/newPassword2参数的SQLi检测
SecRule ARGS_NAMES "@rx ^newPassword(2)?$" "id:1001,phase:2,nolog,pass,t:none"

这条规则会匹配请求中名为newPassword或newPassword2的参数，直接跳过后续的SQL注入检测逻辑，同时不记录这类请求的告警日志。

2. 升级OWASP CRS规则版本 #

当前使用的3.3.2是较旧的规则版本，升级到最新的OWASP CRS版本（如3.4.x及以上），官方大概率已经修复了这类针对连续特殊字符的误判问题。

3. 临时调整偏执级别（仅紧急临时方案） #

如果上述方案暂时无法落地，可以临时将ModSecurity的偏执级别从1调低到0，但这会降低站点整体防护能力，不推荐长期使用。

额外说明 #

• 你的密码验证正则已满足需求，无需修改；
• 代码中使用password_hash和预处理语句的写法完全符合安全规范，无需调整；
• 测试环境未触发问题的本质是测试环境未启用ModSecurity或对应的OWASP CRS规则，和Connections文件夹的位置无关，不要被目录结构干扰。

内容的提问来源于stack exchange，提问作者Bert W