当前位置：首页 > PHP

php实现waf功能

2026-02-16 20:44:36PHP

PHP实现WAF（Web应用防火墙）功能

WAF用于保护Web应用免受常见攻击（如SQL注入、XSS等）。以下是基于PHP实现简易WAF的核心方法：

输入过滤与验证

对用户输入进行严格过滤，使用filter_var或自定义正则匹配：

$input = $_GET['user_input'];
$filtered_input = filter_var($input, FILTER_SANITIZE_STRING);

SQL注入防护

使用预处理语句替代直接拼接SQL，例如PDO方式：

$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id");
$stmt->bindParam(':id', $user_input, PDO::PARAM_INT);
$stmt->execute();

XSS防护

输出时对特殊字符进行转义，可使用htmlspecialchars：

echo htmlspecialchars($user_content, ENT_QUOTES, 'UTF-8');

请求频率限制

防止暴力破解，记录IP请求次数：

$ip = $_SERVER['REMOTE_ADDR'];
$key = "rate_limit_$ip";
$current = apcu_fetch($key);
if ($current > 100) {
    header("HTTP/1.1 429 Too Many Requests");
    exit;
}
apcu_inc($key);

敏感函数禁用

在php.ini中禁用危险函数：

disable_functions = "exec,passthru,shell_exec,system"

用户代理检测

拦截恶意爬虫或扫描器：

$userAgent = $_SERVER['HTTP_USER_AGENT'];
if (preg_match('/sqlmap|nmap|wget|curl/i', $userAgent)) {
    header('HTTP/1.0 403 Forbidden');
    exit;
}

文件上传防护

检查文件类型和内容：

$allowed_types = ['image/jpeg', 'image/png'];
if (!in_array($_FILES['file']['type'], $allowed_types)) {
    die("Invalid file type");
}

正则规则匹配

定义常见攻击模式的正则规则库：

$patterns = [
    '/\bunion\b.+?\bselect\b/is',
    '/<script.*?>.*?<\/script>/is'
];
foreach ($patterns as $pattern) {
    if (preg_match($pattern, $input)) {
        log_attack();
        block_request();
    }
}

日志记录功能

记录可疑请求便于分析：

function log_attack() {
    $log = date('Y-m-d H:i:s') . " - Attack detected: " . $_SERVER['REQUEST_URI'];
    file_put_contents('/var/log/waf.log', $log.PHP_EOL, FILE_APPEND);
}