在PHP中，通过数组绕过安全限制的核心原理与PHP语言特性和底层实现机制密切相关。以下是具体原因及技术细节分析：
一、PHP参数解析机制的特性
PHP的$_GET、$_POST等超全局变量支持将用户输入自动解析为数组。例如，通过URL参数?username[0]=admin&username[1]=_，PHP会将username解析为一个数组["admin", "_"]。如果开发者未对输入类型进行严格校验，直接使用字符串处理函数（如正则匹配），则会因类型不匹配导致校验失效。PS:username[]是自动分配传参时还没使用的索引，在大多数场景下username[0]与是等价的，如果username[0]已经被使用，则自动分配username[1]，以此类推。
典型场景：
当使用preg_match验证$_POST['username']时，若攻击者传入数组而非字符串，preg_match会直接返回false（而非触发错误），导致绕过正则检查。
二、PHP数组的底层实现
PHP数组基于 哈希表（HashTable） 实现，具有以下特性：
- 动态类型：数组元素可以是任意数据类型（字符串、对象、嵌套数组等）。
- 键名灵活性：键名可以是整数或字符串，甚至包含特殊字符（如
_、[]等）。 - 内存动态分配：哈希表会根据元素数量自动扩容/缩容，攻击者可构造超大数组耗尽内存，引发拒绝服务。
绕过示例：
若正则表达式/^[a-zA-Z0-9_]+$/用于检查用户名，攻击者传入数组username[0]=admin&username[1]=_，PHP会将$_POST['username']视为数组，而preg_match对数组输入直接返回false，绕过限制。
三、特定函数的行为差异
- 类型敏感函数：
is_numeric()、strpos()等函数对非字符串输入可能返回非预期结果。empty()函数对空数组返回true，可能绕过非空校验。
- 魔术方法干扰：
在反序列化场景中，若类定义了__wakeup()方法，攻击者可通过修改序列化字符串中的对象属性数量（如将O:6:"Class":1改为O:6:"Class":2）绕过__wakeup()的逻辑。
四、开发者逻辑缺陷
- 未严格校验输入类型：
假设开发者预期用户输入为字符串，但未使用is_string()验证类型，攻击者传入数组即可绕过检查。 - 错误使用运算符：
使用松散比较（==）而非严格比较（===）时，0 == "0"、false == []等可能导致逻辑绕过。 - 未过滤特殊字符：
若允许参数名包含[]（如user[name]=admin），可能引发参数注入或覆盖问题。
五、防御机制的局限性
- 正则表达式漏洞：
若正则未锚定字符串边界（如使用/^...$/而非/^...$/m），攻击者通过换行符（%0a）可绕过匹配规则。 - 框架特性滥用：
某些框架（如Laravel）支持通过数组传递复杂参数，若未正确配置过滤规则，可能被利用传递恶意结构。
六、防御建议
- 输入类型校验：使用
is_string()或is_array()明确限制输入类型。 - 严格模式匹配：正则表达式始终使用
^和$锚定边界，并设置m修饰符处理多行输入。 - 安全反序列化：避免反序列化用户可控数据，或使用
allowed_classes限制可反序列化的类。 - 参数白名单：过滤参数名中的特殊字符（如
[]），仅允许预定义的键名。 - 使用安全函数：以
ctype_alnum()替代正则进行字符集检查，避免类型混淆问题。
