二进制数据传入非二进制安全函数的安全影响及PHP相关问题解析

Hey，咱们来好好拆解你关心的这两个问题，把二进制安全函数的门道说清楚：

非二进制安全函数的核心问题是：它们不把数据当成纯粹的字节流，而是默认按“字符串”规则处理——最典型的就是把\0（空字节）当成字符串的结束标志，这会引发一堆问题：

• 数据直接损坏或截断：比如你用非二进制安全的strlen()处理一张包含空字节的图片数据，得到的长度只是空字节前的字节数，后续依赖这个长度的逻辑全错，图片直接变成残缺文件。
• 逻辑漏洞被利用：如果业务里用这类函数处理敏感数据（比如加密密钥、文件哈希），截断会导致验证逻辑失效。举个例子：攻击者构造一个前半段合法、后半段恶意的二进制数据，非二进制安全函数只处理前半段，就会让系统误以为数据合法，直接中招。
• 潜在的内存安全风险：虽然像PHP这类现代语言有内存保护，但某些底层扩展或者老旧版本的函数，遇到特殊二进制字节时可能出现内存越界——虽然这种情况现在少见，但一旦出现，就可能被利用执行恶意代码。
• 意外的字符解析错误：很多非二进制安全函数会把某些二进制字节当成控制字符（比如换行、制表符）处理，导致数据被错误拆分或转换，破坏数据完整性。

你说的没错，mb_前缀的函数是多字节感知的，但它们和“二进制安全”的关系得掰扯清楚：

• 普通的substr()是非二进制安全的：它按字节截取，遇到空字节就停。比如执行substr("\x00hello world", 0, 10)，得到的结果是空字符串，完全不符合预期。
• mb_substr()只要配置对编码，就是二进制安全的：如果你把编码设为8bit，它会把每个字节都当成独立的原始数据，不会解析成多字节字符，也不会被空字节截断。比如mb_substr("\x00hello world", 0, 10, '8bit')就能正确截取前10个字节。

至于你问的“这是否属于固有安全风险”——答案是肯定的。非二进制安全函数从设计之初就不是用来处理任意二进制数据的，硬把二进制数据传进去，本质上是违背了函数的设计意图，必然会带来不可预测的行为。哪怕某次数据里刚好没有特殊字节，那也是运气好，不是安全——你没法保证所有二进制数据（比如用户上传的文件、网络数据包）都不含空字节或其他特殊字符，所以这是一种固有设计缺陷带来的可被利用的风险。

内容的提问来源于stack exchange，提问作者jamieweb