Performs a comprehensive web a…

# 购物车模块安全审查报告（PHP）

> 说明：您未附上代码，以下基于 checkout.php / cart.php 常见漏洞模式，给出审查清单与修复方案，可直接对照自查。

一、SQL 注入风险点

• 高危位置：cart.php 中按商品 ID 查询、数量更新，checkout.php 中按用户 ID 查订单
• 典型问题："SELECT * FROM cart WHERE id = " . $_GET['id'] 直接拼接变量
• 修复方案：
• 全部改用 PDO/MySQLi 预处理语句：->prepare("... WHERE id = ?")
• 禁止 $_GET/$_POST/$_REQUEST 直接入库
• in 条件批量查询用占位符数组，不要字符串拼接
• 错误信息不要直接输出（防信息泄露）

二、XSS 风险点

• 高危位置：购物车展示商品名、备注、用户昵称、优惠码信息
• 典型问题：echo $_POST['remark'] 未转义，恶意用户提交 <script> 窃取他人 Cookie
• 修复方案：
• 输出时统一 htmlspecialchars($val, ENT_QUOTES, 'UTF-8')
• 存储时不过滤（保留原始数据），渲染时转义
• 设置响应头：X-Content-Type-Options: nosniff、Content-Security-Policy
• 富文本需求用白名单过滤库（如 HTMLPurifier）

三、支付金额篡改（最高优先级）

• 高危位置：checkout.php 中金额来自前端表单/隐藏字段
• 典型问题：
• $_POST['total_amount'] 直接用于支付下单
• 价格、数量、优惠只在前端 JS 计算
• 修复方案：
• 金额必须服务端计算：以商品 ID 从数据库取价格 × 数量 − 服务端校验的优惠，前端传入金额一律丢弃
• 数量做范围校验（如 1~999）
• 支付回调验签（如微信/支付宝官方 SDK 验签），比对订单号 + 金额 + 状态
• 加防重复提交锁（订单状态机 + 数据库唯一约束）
• 关键操作记录日志便于审计

四、其他建议

• 会话固定防护：登录后 session_regenerate_id(true)
• CSRF Token：结算、改数量等写操作必加
• 越权检查：操作购物车/订单前验证 user_id 归属
• 依赖库（框架、支付 SDK）保持更新，关注 CVE

建议把两个文件的实际代码发我，可逐行标注漏洞位置并给出修复代码。