PHP 伪静态技术原理以及突破原理实现介绍

什么是PHP伪静态技术？

PHP伪静态技术是把动态页面URL转化为静态URL的一种技术，对于一些只需要进行展示，不需要频繁更新的网站，可以使用伪静态技术有效减轻服务器负担、提高网站打开速度。

PHP伪静态技术的原理

PHP伪静态技术的本质是URL重写，通过对URL的重写，不仅就能提升页面的访问速度，也是一种SEO策略。HTTP服务器（如Apache、Nginx）对于请求的URL进行重写，以隐藏真实的动态页面地址，呈现给用户的是一个看似静态的URL。伪静态URL结构是与静态页面相似的，具有好看、易记、方便搜索引擎收录等诸多优点。

PHP伪静态技术通过将动态请求url转换为静态url实现 ，使服务器认为请求的是一个静态页面，而不再去执行解析动态页面的脚本。在伪静态的情况下，htm、html等静态页面的文件名实际上是虚拟的，对应的资源或页面内容是动态生成的。

PHP伪静态技术的突破原理

在伪静态的情况下，URL地址被伪造成静态的，因此一些网站恶意利用伪静态地址的不易破解和防护以达到隐藏路径、窃取信息等目的。

除了常见的字段注入、sql注入、xss等网络安全风险外，利用抓包工具也可以轻易截获伪静态请求数据，导致网站或用户信息遭泄漏。

• 示例 1

当攻击者获取到网站伪静态地址后可以通过 URL 地址栏输入任意字符进行模拟测试，尝试突破后台验证策略，通过对URL构造来进行代码注入一些可执行命令，以达到请求后能进行恶意操作（如执行上传恶意脚本等）

防范措施：开发人员需要对代码进行输入校验和过滤。例如，如果这个网站的访问路径都是以 /article/开头的地址，我们只需要在服务器上配置一个从 /article/转移的规则，即可屏蔽掉其他不存在的地址或者请求方式。

• 示例 2

攻击者构建模拟请求之后可以使用HttpFox等工具进行截获攻击数据包（但当前工具不再维护），从而成功攻击网站。攻击者可以自行配置构造伪包数据，方便捣蛋。

防范措施：对于开放给用户的接口，需要增加安全验证，crsf防范等安全措施，用户在请求操作的时候都需要token验证。

总结

PHP伪静态技术是一种性能优化和SEO的策略，能有效提高服务器负载均衡和用户访问体验，同时也给部分网站安全漏洞带来重大威胁，因此开发人员需要进行好的规划和安全策略落地，保证网站访问正常和用户数据安全。