PHP数据过滤：如何防止敏感数据泄露

在Web开发中，数据安全是至关重要的环节。PHP作为广泛使用的服务器端脚本语言，其数据过滤机制直接关系到用户敏感信息的保护。本文将详细介绍PHP中防止敏感数据泄露的最佳实践。

1. 输入数据验证

对所有用户输入进行严格验证是防止数据泄露的第一步：

// 过滤电子邮件
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);

// 过滤整数
$age = filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT);

// 自定义正则验证
if (!preg_match('/^[a-zA-Z0-9_]{5,20}$/', $username)) {
    die('无效的用户名');
}

2. 输出数据转义

输出到HTML、JavaScript或SQL前必须进行转义：

// HTML转义
htmlspecialchars($string, ENT_QUOTES, 'UTF-8');

// JavaScript转义
json_encode($string);

// SQL参数化查询
$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->execute(['id' => $userId]);

3. 敏感数据处理

处理密码、信用卡号等敏感信息需特别注意：

// 密码哈希
$hashedPassword = password_hash($password, PASSWORD_BCRYPT);

// 信用卡号部分显示
$maskedCard = substr($cardNumber, -4).str_repeat('*', strlen($cardNumber)-4);

4. 错误处理与日志记录

避免在生产环境显示详细错误信息：

// 生产环境设置
error_reporting(0);
ini_set('display_errors', 0);

// 记录到安全日志
ini_set('log_errors', 1);
ini_set('error_log', '/secure/path/php_errors.log');

5. 安全头部设置

通过HTTP头部增强安全性：

// 防止XSS攻击
header('X-XSS-Protection: 1; mode=block');

// 防止内容嗅探
header('X-Content-Type-Options: nosniff');

// 防止点击劫持
header('X-Frame-Options: DENY');

通过以上措施，可以显著提高PHP应用的数据安全性，有效防止敏感信息泄露。开发者应将这些安全实践作为编码标准的一部分，确保应用从设计阶段就具备良好的安全基础。