PHP-তে মূল নিরাপত্তা সর্বোত্তম অনুশীলনগুলি কী কী?

Question

Accepted Answer

PHP নিরাপত্তা মানে সাধারণ ওয়েব দুর্বলতার বিরুদ্ধে রক্ষা করা (OWASP Top 10) প্রতিটি স্তরে — ইনপুট হ্যান্ডলিং, ডাটাবেস অ্যাক্সেস, আউটপুট, প্রমাণীকরণ এবং কনফিগারেশন। যেহেতু PHP ওয়েবের এত বড় অংশকে শক্তি দেয়, এই অনুশীলনগুলি গুরুত্বপূর্ণ।

## 1. SQL ইনজেকশন প্রতিরোধ — প্রস্তুত বিবৃতি

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. XSS প্রতিরোধ — সমস্ত আউটপুট এস্কেপ করুন

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

আউটপুটে ব্যবহারকারী-নিয়ন্ত্রিত ডেটা এস্কেপ করুন (`htmlspecialchars`) যাতে ইনজেক্ট করা HTML/JS সম্পাদন করতে না পারে। (Twig/Blade-এর মতো টেমপ্লেটিং ইঞ্জিনগুলি স্বয়ংক্রিয়ভাবে এস্কেপ করে।)

## 3. পাসওয়ার্ড সঠিকভাবে হ্যাশ করুন

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

PHP-এর অন্তর্নির্মিত `password_hash`/`password_verify` শক্তিশালী, salted, ধীর অ্যালগরিদম ব্যবহার করে — পাসওয়ার্ড সংরক্ষণের সঠিক উপায়।

## 4. CSRF প্রতিরোধ — টোকেন

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. সমস্ত ইনপুট যাচাই এবং স্যানিটাইজ করুন

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. নিরাপদ কনফিগারেশন এবং অন্যান্য অনুশীলন

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## এটি কেন গুরুত্বপূর্ণ

নিরাপত্তা PHP অ্যাপ্লিকেশনগুলির জন্য গুরুত্বপূর্ণ এবং এই অনুশীলনগুলি বোঝা অপরিহার্য — কারণ PHP ওয়েবের একটি বিশাল অংশকে শক্তি দেয়, PHP অ্যাপ্লিকেশনগুলি ক্রমাগত আক্রমণের লক্ষ্য, এবং নিরাপত্তা ব্যর্থতা বিপর্যয়কর হতে পারে (ডেটা লঙ্ঘন, অ্যাকাউন্ট আপস, বিকৃতি)।

PHP সবচেয়ে সাধারণ এবং বিপজ্জনক ওয়েব দুর্বলতা সমোধান করে, কিন্তু কিছু ফ্রেমওয়ার্কের বিপরীতে, অনেক কিছু ডেভেলপার সঠিক অনুশীলন অনুসরণ করার উপর নির্ভর করে।

অ-আলোচনীয় অপরিহার্যতা: **প্রস্তুত বিবৃতি** SQL ইনজেকশন প্রতিরোধ করে (সবচেয়ে সাধারণ এবং বিধ্বংসী আক্রমণগুলির মধ্যে একটি), **আউটপুট এস্কেপিং** (`htmlspecialchars`) XSS প্রতিরোধ করে, **`password_hash`/`password_verify`** নিরাপদ পাসওয়ার্ড সংরক্ষণ নিশ্চিত করে (কখনও plaintext/দুর্বল হ্যাশ নয়), **CSRF টোকেন** state-changing অনুরোধগুলি রক্ষা করে, এবং **কঠোর ইনপুট যাচাইকরণ** (কখনও `$_GET`/`$_POST`/`$_COOKIE` বিশ্বাস করবেন না) ভিত্তি।

সমান গুরুত্বপূর্ণ হল **নিরাপদ কনফিগারেশন**: উৎপাদনে ত্রুটি প্রদর্শন বন্ধ করা (ত্রুটি আক্রমণকারীদের কাছে সংবেদনশীল তথ্য প্রকাশ করে), কোড থেকে গোপনীয়তা রাখা, HTTPS এবং সুরক্ষিত কুকি ফ্ল্যাগ ব্যবহার করা, আপলোড যাচাই করা, এবং PHP এবং নির্ভরতা আপডেট রাখা (যেহেতু দুর্বল প্যাকেজ একটি প্রধান আক্রমণ ভেক্টর)।

এই স্তরযুক্ত, defense-in-depth পদ্ধতি বোঝা — এবং যে একটি অপ্রত্যাশিত স্তর (একটি ইনজেকশন, একটি ফাঁস গোপনীয়তা, একটি অনাবস্থ আউটপুট, একটি unpatched নির্ভরতা) সম্পূর্ণ সিস্টেমকে আপস করতে পারে — গুরুত্বপূর্ণ, high-stakes জ্ঞান যে কোনো PHP ডেভেলপারের জন্য।

আধুনিক ফ্রেমওয়ার্ক (Laravel, Symfony) ডিফল্টরূপে অনেক সুরক্ষা প্রদান করলেও, অন্তর্নিহিত হুমকি এবং অনুশীলনগুলি বোঝা নিরাপদ অ্যাপ্লিকেশন তৈরির জন্য অপরিহার্য দায়িত্ব, এটিকে উৎপাদন PHP-র জন্য একটি গুরুত্বপূর্ণ, ঘন ঘন প্রাসঙ্গিক বিষয় করে তোলে।