ما هي أفضل الممارسات الأمنية الرئيسية في PHP؟

Question

Accepted Answer

يعني الأمان في PHP الدفاع ضد نقاط الضعف الشائعة على الويب (OWASP Top 10) في كل طبقة — معالجة المدخلات، والوصول إلى قاعدة البيانات، والمخرجات، والمصادقة، والتكوين. نظراً لأن PHP يقوم بتشغيل جزء كبير من الويب، فإن هذه الممارسات حاسمة.

## 1. منع حقن SQL — prepared statements

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. منع XSS — تجنب جميع المخرجات

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

قم بتجنب البيانات التي يتحكم بها المستخدم عند المخرجات (`htmlspecialchars`) حتى لا يتمكن HTML/JS المحقون من التنفيذ. (محركات القوالب مثل Twig/Blade تقوم بالتجنب التلقائي.)

## 3. تجزئة كلمات المرور بشكل صحيح

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

يستخدم PHP المدمج `password_hash`/`password_verify` خوارزميات قوية ومملحة وبطيئة — الطريقة الصحيحة لتخزين كلمات المرور.

## 4. منع CSRF — tokens

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. التحقق من جميع المدخلات وتنظيفها

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. التكوين الآمن والممارسات الأخرى

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## لماذا هذا مهم

الأمان حاسم لتطبيقات PHP، وفهم هذه الممارسات ضروري — لأن PHP يقوم بتشغيل جزء ضخم من الويب، فإن تطبيقات PHP هي أهداف هجوم مستمرة، وقد تكون فشل الأمان كارثي (انتهاكات البيانات، اختراق الحسابات، العبث بالموقع).

يعالج PHP نقاط الضعف الشائعة والخطيرة على الويب، لكن على عكس بعض الأطر العمل، يعتمد الكثير على اتباع المطور الممارسات الصحيحة.

العناصر التي لا يمكن التنازل عنها: **prepared statements** تمنع حقن SQL (من أكثر الهجمات شيوعاً وتدميراً)، **تجنب المخرجات** (`htmlspecialchars`) يمنع XSS، **`password_hash`/`password_verify`** تضمن تخزين كلمات مرور آمنة (لا أبداً نص عادي/تجزئات ضعيفة)، **CSRF tokens** تحمي طلبات تغيير الحالة، و**التحقق الصارم من المدخلات** (عدم الوثوق أبداً `$_GET`/`$_POST`/`$_COOKIE`) هي الأساس.

من نفس الأهمية **التكوين الآمن**: إيقاف عرض الأخطاء في الإنتاج (الأخطاء تسرب المعلومات الحساسة للمهاجمين)، إبقاء الأسرار بعيدة عن الكود، استخدام HTTPS وأعلام ملفات تعريف الارتباط الآمنة، التحقق من التحميلات، وإبقاء PHP والتبعيات محدثة (لأن الحزم الضعيفة متجهة هي ناقل هجوم رئيسي).

فهم هذا النهج الطبقي والدفاع المتعدد — وأن طبقة واحدة مغفولة (حقن، سر مسرب، مخرجات غير معكوسة، تبعية غير مصححة) يمكن أن تضر النظام بالكامل — أمر مهم ومعرفة عالية المخاطر لأي مطور PHP.

بينما توفر أطر العمل الحديثة (Laravel, Symfony) العديد من الحماية بشكل افتراضي، فإن فهم التهديدات والممارسات الأساسية هو المسؤولية الأساسية لبناء تطبيقات آمنة، مما يجعل هذا موضوعاً حاسماً وذو صلة متكررة لـ PHP الإنتاج.