PHP直接在SQL查询中判断非空值是否安全 是否需额外校验

你当前实现密码找回逻辑时执行的SQL如下：

SELECT * FROM PassReset WHERE selector = ? AND token = ? AND token <>"" AND tokenExpire >= NOW()

针对你提出的两个问题，具体结论如下：

一、SQL层直接做空值判断的可靠性 #

你当前在查询条件中写的token <> ""判断本身是安全的，在常规关系型数据库（MySQL、PostgreSQL、SQL Server等）默认配置下：

• 该条件会直接过滤token字段存储为空字符串的无效记录
• 由于SQL中<>运算符对NULL值的判断返回结果为UNKNOWN，不会被查询命中，因此token为NULL的无效记录也会被自动排除，无需额外补充token IS NOT NULL条件
• 前提是你全程使用了参数化查询（即你写的?占位符写法），这已经从根本上防住了SQL注入风险，这部分写法不存在逻辑问题。

注意：如果你的数据库开启了特殊兼容模式（比如Oracle默认把空字符串等价于NULL），可以额外补一个token IS NOT NULL条件做兼容，但绝大多数Web业务用的数据库不需要额外处理。

二、查询执行后必须补充的校验逻辑 #

哪怕SQL查询成功返回了结果，也绝对不能直接进入密码重置流程，必须补充以下校验，否则存在明显安全漏洞：

• 结果条数校验：必须严格判断返回结果数量恰好为1条。如果返回0条，直接返回链接无效提示；如果返回大于1条，说明表内存在重复selector的脏数据，要立刻打错误日志排查问题，同时给用户返回无效提示，禁止直接取第一条记录使用。
• Token比对逻辑修正（高危漏洞修复）：你当前在SQL中直接做token = ?的明文等值比对是非常危险的。正确的存储逻辑应该是：重置链接中的token是随机生成的高熵字符串，数据库中仅存储该token的哈希值；查询时先仅用selector条件查出对应记录，取出存储的哈希token后，使用恒定时间比较函数比对用户传入token的哈希值与库中哈希是否一致，避免时序攻击。禁止在SQL语句中直接做token等值匹配，更禁止在数据库中存储明文token。
• 单次使用校验：校验通过后，必须立刻将该条重置记录标记为已失效（可以直接删除记录、将token置空、或新增is_used字段标记为已使用），确保同一个重置链接只能使用一次，防止链接被截获后重复用于密码重置。
• 错误提示统一：所有校验失败的场景（selector不存在、token不匹配、已过期、已使用、账号状态异常），统一返回模糊提示「密码重置链接无效或已过期，请重新发起重置申请」，不要返回具体错误原因，避免攻击者枚举有效selector或token。
• 账号状态校验：可以额外关联查询该条重置记录对应的用户账号状态，如果账号已被冻结、注销，直接拒绝重置请求。

内容的提问来源于stack exchange，提问作者DLK