PHP脚本层检测表单SQL注入尝试的方案咨询

嘿，既然已经把参数化SQL安排上了，这步已经把SQL注入的核心风险给牢牢堵住了！不过想要在PHP脚本层面主动揪出恶意注入尝试、甚至对攻击者采取警告或限制措施，对于存储学生个人信息的网站来说，确实是个非常稳妥的补充操作，毕竟学生信息的安全性容不得半点马虎。

下面给你几个实用的PHP层面方案，都是针对你的场景量身定制的：

很多手动或自动化的注入尝试都会带有明显的SQL特征，比如UNION SELECT、DROP TABLE这类关键字，或者单引号、注释符这类异常符号。你可以写个简单的检测函数，扫描用户提交的内容里是否存在这些特征：

function detectSqlInjectionAttempt($input) {
    // 这里的特征列表可以根据你的业务场景调整，比如去掉可能正常出现的词
    $suspiciousPatterns = [
        '/union\s+select/i',
        '/insert\s+into/i',
        '/update\s+.*set/i',
        '/delete\s+from/i',
        '/drop\s+(table|database)/i',
        '/--/',
        '/\/\*.*\*\//',
        '/(\'|\")\s*OR\s*(\'|\")/', // 经典的1' OR '1'='1 这类尝试
    ];

    foreach ($suspiciousPatterns as $pattern) {
        if (preg_match($pattern, trim($input))) {
            return true;
        }
    }
    return false;
}

// 表单提交时的使用示例
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // 遍历所有POST参数进行检测
    foreach ($_POST as $field => $value) {
        if (detectSqlInjectionAttempt($value)) {
            // 先把攻击行为记录下来，日志要详细：时间、IP、字段、输入内容
            $logEntry = sprintf(
                "[%s] SQL注入尝试 - IP: %s | 字段: %s | 内容: %s\n",
                date('Y-m-d H:i:s'),
                $_SERVER['REMOTE_ADDR'],
                $field,
                htmlspecialchars($value)
            );
            file_put_contents('./security/attack_logs.txt', $logEntry, FILE_APPEND | LOCK_EX);

            // 给攻击者一个通用的警告，别泄露你的检测规则
            http_response_code(403);
            die('非法请求，你的操作已被记录，请遵守网站使用规则。');
        }
    }

    // 继续执行正常的参数化查询逻辑
    // ...
}

注意：这个方法容易出现误判（比如学生提交的作业里刚好包含SELECT这类词），所以建议结合业务字段的规则来调整——比如学生ID字段只能是数字，那如果这个字段里出现了SQL关键字，直接判定为异常；而像“个人简介”这类文本字段，可以适当放宽特征检测，或者只标记为可疑，不直接拦截。

学生信息的字段大多有明确的类型或格式要求：比如学生ID是正整数、邮箱要符合标准格式、手机号是11位数字。利用这些规则做校验，既能提升用户体验，也能过滤掉大部分注入尝试：

// 学生ID校验：只能是正整数
$studentId = $_POST['student_id'] ?? '';
if (!ctype_digit($studentId) || (int)$studentId <= 0) {
    logSecurityEvent('可疑输入', "学生ID字段收到非合法内容: {$studentId}");
    blockMaliciousRequest();
}

// 邮箱格式校验
$studentEmail = $_POST['email'] ?? '';
if (!filter_var($studentEmail, FILTER_VALIDATE_EMAIL)) {
    // 如果格式不对同时包含可疑SQL特征，直接判定为注入尝试
    if (detectSqlInjectionAttempt($studentEmail)) {
        logSecurityEvent('SQL注入尝试', "邮箱字段包含可疑内容: {$studentEmail}");
        blockMaliciousRequest();
    }
    // 否则可能只是用户输错，返回友好提示
    // die('请输入正确的邮箱格式');
}

// 辅助函数：记录安全事件
function logSecurityEvent($type, $details) {
    $logEntry = sprintf(
        "[%s] %s - IP: %s | 详情: %s\n",
        date('Y-m-d H:i:s'),
        $type,
        $_SERVER['REMOTE_ADDR'],
        htmlspecialchars($details)
    );
    file_put_contents('./security/event_logs.txt', $logEntry, FILE_APPEND | LOCK_EX);
}

// 辅助函数：拦截恶意请求
function blockMaliciousRequest() {
    http_response_code(403);
    die('非法请求，你的操作已被记录。');
}

这种方法误判率极低，因为完全贴合你的业务场景，非常适合学生信息管理系统这类字段规则明确的网站。

如果是自动化注入工具，通常会短时间内多次提交异常请求。你可以针对IP做频率限制，超过阈值就暂时封禁：

function isRequestFrequencyExceeded() {
    $clientIp = $_SERVER['REMOTE_ADDR'];
    $timeWindow = 60; // 1分钟内
    $maxRequests = 5; // 最多允许5次请求

    // 用SESSION存储请求记录，要是想持久化可以用Redis或数据库
    if (!isset($_SESSION['request_tracker'])) {
        $_SESSION['request_tracker'] = [];
    }

    // 清理过期的记录
    foreach ($_SESSION['request_tracker'] as $ip => $data) {
        if (time() - $data['last_request'] > $timeWindow) {
            unset($_SESSION['request_tracker'][$ip]);
        }
    }

    // 更新当前IP的请求记录
    if (isset($_SESSION['request_tracker'][$clientIp])) {
        $_SESSION['request_tracker'][$clientIp]['count']++;
        if ($_SESSION['request_tracker'][$clientIp]['count'] > $maxRequests) {
            return true;
        }
    } else {
        $_SESSION['request_tracker'][$clientIp] = [
            'count' => 1,
            'last_request' => time()
        ];
    }
    return false;
}

// 在表单处理前调用
session_start();
if (isRequestFrequencyExceeded()) {
    logSecurityEvent('请求频率过高', "IP: {$clientIp} 短时间内请求次数超限");
    http_response_code(429);
    die('请求过于频繁，请1分钟后再试。');
}

这个方法能有效挡住批量扫描的自动化工具，避免它们反复尝试注入。

1. 参数化查询永远是核心：上面的方法都是补充防御，绝对不能替代参数化查询的作用。
2. 别泄露检测规则：返回给攻击者的提示要通用，比如只说“非法请求”，不要告诉他们“你的输入包含UNION关键字”，不然攻击者会针对性绕过。
3. 定期审查日志：不要只记录日志就不管了，定期看看有没有异常攻击行为，及时更新你的检测特征和规则。

内容的提问来源于stack exchange，提问作者Michael Chourdakis