AJAX/PHP MySQL搜索字段安全防护、限流实现及凭据存放咨询

咱们一个个来拆解你的三个问题，每个都关乎Web开发里安全和可靠性的关键环节：

首先得明确：如果你的search.php里是直接把用户输入拼接进SQL语句（比如写$sql = "SELECT * FROM table WHERE keyword = '$_GET[search]'";），那完全防不住MySQL注入，这种写法是高危操作。

正确的加固方案是用预处理语句（Prepared Statements）+ 参数绑定，这是PHP官方推荐的防注入标准做法，不管你用PDO还是mysqli扩展都支持，举个PDO的例子：

// 初始化PDO连接（建议把连接逻辑单独抽离）
$pdo = new PDO('mysql:host=localhost;dbname=your_database', $db_user, $db_pass);
// 准备预处理SQL语句，用占位符代替用户输入
$stmt = $pdo->prepare("SELECT * FROM your_table WHERE target_column = :search_keyword");
// 绑定用户输入到占位符，PDO会自动处理转义和类型校验
$stmt->bindParam(':search_keyword', $_GET['search']);
// 执行查询
$stmt->execute();
// 获取结果
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

额外提醒两点：

• 绝对不要使用已经废弃的mysql_*系列函数，它们没有预处理支持，而且早在PHP 7就被彻底移除了。
• 不要依赖手动转义（比如mysqli_real_escape_string），这种方法容易因为字符集配置错误等问题出现漏洞，预处理是更可靠的方案。

限流的实现分几种场景，你可以根据自己的部署情况选择：

单服务器场景：Session本地限流 #

利用PHP的Session记录用户的请求时间和次数，实现简单，适合单服务器部署的小应用：

session_start();

// 限流规则：每分钟最多5次请求
$max_requests = 5;
$time_window = 60; // 单位：秒
$now = time();

// 初始化Session里的请求记录数组
if (!isset($_SESSION['search_request_log'])) {
    $_SESSION['search_request_log'] = [];
}

// 过滤掉时间窗口外的旧请求记录
$_SESSION['search_request_log'] = array_filter(
    $_SESSION['search_request_log'],
    fn($timestamp) => $now - $timestamp < $time_window
);

// 检查当前请求次数是否超限
if (count($_SESSION['search_request_log']) >= $max_requests) {
    http_response_code(429); // 返回标准的"请求过多"状态码
    echo "请求过于频繁，请1分钟后再尝试";
    exit;
}

// 记录本次请求的时间戳
$_SESSION['search_request_log'][] = $now;

// 继续处理你的搜索逻辑...

多服务器场景：Redis分布式限流 #

如果你的应用部署在多台服务器上，Session限流会失效（因为Session存在单台服务器），这时候可以用Redis来做分布式限流，利用Redis的原子性操作保证计数准确：

// 连接Redis（确保已经安装Redis扩展）
$redis = new Redis();
$redis->connect('localhost', 6379);

// 用用户IP作为限流标识（如果是登录用户，建议用用户ID更精准）
$limit_key = "search_limit:{$_SERVER['REMOTE_ADDR']}";
// 原子递增请求计数器
$request_count = $redis->incr($limit_key);

// 第一次请求时设置过期时间为60秒
if ($request_count === 1) {
    $redis->expire($limit_key, 60);
}

// 检查是否超限
if ($request_count > 5) {
    http_response_code(429);
    echo "请求过于频繁，请1分钟后再尝试";
    exit;
}

// 继续处理搜索逻辑...

更高效的方案：Nginx层面限流 #

如果能修改Nginx配置，直接在Web服务器层面限流会更高效，不用请求走到PHP代码就可以拦截：

http {
    # 定义限流规则：用用户IP作为标识，分配10MB内存存储限流状态，每分钟最多5次请求
    limit_req_zone $binary_remote_addr zone=search_limit:10m rate=5r/m;

    server {
        # 对search.php接口应用限流规则
        location /search.php {
            # burst=1允许1次突发请求，nodelay表示超过限流直接返回429，不排队
            limit_req zone=search_limit burst=1 nodelay;
        }
    }
}

把数据库凭据存入单独PHP文件再引入是很不错的实践，但不是最优的唯一方案，咱们来拆解一下：

为什么单独存是好做法？ #

• 降低泄露风险：如果某个业务PHP文件因为服务器配置错误（比如PHP解析失败，直接返回原始代码），不会把数据库凭据一起泄露出来，因为凭据在单独的文件里。
• 便于管理：修改凭据时只需要改这一个文件，不用在多个业务文件里查找修改。

但可以做得更安全： #

1. 把凭据文件放在Web根目录之外：比如你的Web根目录是/var/www/html，那把凭据文件放在/var/www/db_config.php，然后用require_once '/var/www/db_config.php';引入。这样即使有人直接访问文件URL，也找不到这个文件。
2. 优先使用环境变量存储凭据：现在更推荐的做法是把数据库凭据存在服务器的环境变量里，比如在Linux服务器的/etc/environment中添加：

export DB_HOST=localhost
export DB_NAME=your_database
export DB_USER=db_user
export DB_PASS=db_password

然后在PHP中通过getenv()获取：

$db_host = getenv('DB_HOST');
$db_name = getenv('DB_NAME');
$db_user = getenv('DB_USER');
$db_pass = getenv('DB_PASS');
$pdo = new PDO("mysql:host=$db_host;dbname=$db_name", $db_user, $db_pass);

这种方式的好处是凭据完全不存放在代码文件里，即使代码仓库泄露，也不会泄露数据库凭据。

另外，还要注意给凭据文件设置严格的权限，比如设置为600（只有文件所有者可读可写），避免服务器上的其他用户读取。

内容的提问来源于stack exchange，提问作者user4183285