代码中href='example.php?id="<?= $row['id'] ?>"'是否安全？如何加固？

咱们先直接给结论：这段代码里的href='example.php?id="<?= $row['id'] ?>"'本身没有直接的XSS或SQL注入风险（因为$row['id']是数据库取出的数字类型，输出到HTML属性里不会触发XSS，只要后端对id参数做了类型校验），但暴露数据库自增ID确实会带来一些潜在的安全隐患，具体原因和改造方案如下：

为什么暴露数据库ID不安全？ #

• 信息泄露与遍历风险：自增ID是连续的，攻击者通过浏览器悬停看到ID后，很容易推断出你的数据规模（比如看到ID是1200，就知道大概有1200条记录），还能手动修改URL里的id值，尝试遍历所有ID来批量获取数据。如果后端没有做权限校验，攻击者就能随意查看不属于自己的内容。
• 业务逻辑风险：如果ID和业务场景绑定紧密（比如订单ID、用户ID），攻击者可能利用连续ID的规律猜测业务信息，比如预测下一个订单号，进而实施欺诈或其他恶意操作。

安全改造方案 #

方案1：对ID进行加密/混淆 #

可以用可逆加密算法（比如AES）对真实ID进行加密，前端传递加密后的字符串，后端接收后解密得到真实ID。这样既隐藏了真实ID，又能正常查询数据：

// 前端加密示例（PHP代码）
$key = '你的安全密钥（建议存在配置文件，不要硬编码）';
$iv = random_bytes(openssl_cipher_iv_length('AES-256-CBC'));
$encrypted_id = openssl_encrypt($row['id'], 'AES-256-CBC', $key, 0, $iv);
// 把IV和加密后的ID一起传递（IV用于后端解密）
$safe_id = urlencode(base64_encode($iv . $encrypted_id));
// 输出到HTML
echo "<a class='btn btn-sm' href='example.php?id={$safe_id}' role='button' data-toggle='modal' data-target='.bs-example-modal-lg'>View</a>";

后端解密示例：

$key = '你的安全密钥';
$safe_id = urldecode($_GET['id']);
$decoded = base64_decode($safe_id);
$iv_length = openssl_cipher_iv_length('AES-256-CBC');
$iv = substr($decoded, 0, $iv_length);
$encrypted_id = substr($decoded, $iv_length);
$real_id = openssl_decrypt($encrypted_id, 'AES-256-CBC', $key, 0, $iv);
// 之后用$real_id查询数据库，记得做类型校验

方案2：使用随机公开ID替代自增ID #

在数据库表中新增一个public_id字段，存储UUID或随机生成的唯一字符串，前端传递这个public_id作为参数，后端通过它查询真实数据：

1. 数据库表新增字段：public_id VARCHAR(36) UNIQUE NOT NULL
2. 插入数据时生成随机ID：

// 生成UUID（PHP 7+支持）
$public_id = uuid_create(UUID_TYPE_RANDOM);
// 或者用自定义随机字符串
$public_id = bin2hex(random_bytes(16));

3. 前端代码修改：

echo "<a class='btn btn-sm' href='example.php?id={$row['public_id']}' role='button' data-toggle='modal' data-target='.bs-example-modal-lg'>View</a>";

4. 后端查询：

$public_id = $_GET['id'];
$stmt = $pdo->prepare("SELECT * FROM your_table WHERE public_id = ?");
$stmt->execute([$public_id]);
$data = $stmt->fetch();

方案3：必须补充的后端权限校验 #

不管用哪种ID隐藏方案，后端的权限校验都是必不可少的。要确保当前登录用户只能访问属于自己的数据：

session_start();
if (!isset($_SESSION['user_id'])) {
    // 未登录，跳转登录页
    header("Location: login.php");
    exit;
}

$target_id = // 解密或获取到的真实ID
$stmt = $pdo->prepare("SELECT * FROM your_table WHERE id = ? AND user_id = ?");
$stmt->execute([$target_id, $_SESSION['user_id']]);
$data = $stmt->fetch();

if (!$data) {
    // 无权限访问，返回403禁止
    header("HTTP/1.1 403 Forbidden");
    exit;
}

内容的提问来源于stack exchange，提问作者Mohan Wijesena