php写waf

PHP作为一种广泛使用的服务器端脚本语言，在Web开发中占据重要地位，其灵活性和开放性也带来了安全风险，因此使用PHP编写Web应用防火墙（WAF）成为保护网站安全的重要手段，WAF能够检测并阻止恶意请求，防止SQL注入、跨站脚本（XSS）等常见攻击，本文将详细介绍如何使用PHP构建一个基础但功能完善的WAF，涵盖核心功能实现、规则配置及优化方向。

WAF的核心功能与实现原理

WAF的核心在于对HTTP请求的实时检测与过滤，在PHP中，可以通过$_GET、$_POST、$_COOKIE等超全局变量获取请求数据，并结合正则表达式或字符串匹配技术识别恶意特征，针对SQL注入攻击，可检测请求参数中是否包含union、select、drop等危险关键词；对于XSS攻击，则需检查是否存在<script>、javascript:等恶意代码片段，实现时，建议将过滤逻辑封装为独立函数或类,便于维护和调用。

关键过滤规则的编写

编写高效的过滤规则是WAF的核心任务，以SQL注入防护为例，可通过以下代码实现基础检测：

function isSqlInjection($input) {  
    $patterns = ['/unions+select/i', '/selects+.*s+from/i', '/drops+table/i'];  
    foreach ($patterns as $pattern) {  
        if (preg_match($pattern, $input)) {  
            return true;  
        }  
    }  
    return false;  
}

类似地，XSS防护可通过htmlspecialchars()函数对输出内容进行转义，同时结合正则表达式过滤<script>标签，需要注意的是，规则需定期更新以应对新型攻击,可通过维护一个规则数组或数据库表动态加载规则。

请求日志与异常处理

完善的WAF不仅需要拦截恶意请求，还应记录攻击行为以便后续分析，可通过file_put_contents()或error_log()将拦截的请求信息（如IP、时间、请求参数）写入日志文件。

if (isSqlInjection($_GET['id'])) {  
    $logMessage = date('[Y-m-d H:i:s]') . " SQL Injection Attempt from IP: {$_SERVER['REMOTE_ADDR']}n";  
    file_put_contents('waf.log', $logMessage, FILE_APPEND);  
    die('Access Denied');  
}

需合理处理异常情况，避免因规则误判导致正常用户无法访问，可设置白名单机制,对可信IP或特定参数跳过检测。

性能优化与高级功能

基础WAF可能对性能产生影响，尤其是在高并发场景下，优化措施包括：使用opcache缓存编译后的PHP代码、限制规则匹配次数、采用高效的正则表达式等，对于高级需求，可结合Redis或Memcached缓存检测结果，减少重复计算，还可集成IP信誉库，对已知恶意IP进行主动拦截，或实现速率限制功能,防止暴力破解攻击。

部署与维护注意事项

部署PHP WAF时，建议将其作为独立脚本或中间件运行，而非直接嵌入业务逻辑，可通过auto_prepend_file配置在PHP启动时自动加载WAF代码，维护方面，需定期检查日志文件分析攻击趋势，并根据最新漏洞更新规则库，需注意与现有安全工具（如ModSecurity）的兼容性,避免功能冲突。