Was sind wichtige Sicherheits-Best-Practices in PHP?

Question

Accepted Answer

PHP-Sicherheit bedeutet, sich gegen gängige Web-Sicherheitslücken (OWASP Top 10) auf jeder Ebene zu schützen — Input-Verarbeitung, Datenbankzugriff, Output, Authentifizierung und Konfiguration. Da PHP so einen großen Teil des Webs betreibt, sind diese Praktiken entscheidend.

## 1. SQL-Injection verhindern — Prepared Statements

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. XSS verhindern — alle Ausgaben escapen

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

Benutzergesteuerte Daten bei der Ausgabe escapen (`htmlspecialchars`), damit injiziertes HTML/JS nicht ausgeführt werden kann. (Template-Engines wie Twig/Blade escapen automatisch.)

## 3. Passwörter korrekt hashen

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

PHPs eingebaute `password_hash`/`password_verify` verwenden starke, gesalzte, langsame Algorithmen — die korrekte Art, Passwörter zu speichern.

## 4. CSRF verhindern — Tokens

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. Alle Eingaben validieren und bereinigen

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. Sichere Konfiguration und weitere Praktiken

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## Warum es wichtig ist

Sicherheit ist für PHP-Anwendungen kritisch, und das Verständnis dieser Praktiken ist essentiell — denn PHP betreibt einen riesigen Teil des Webs, PHP-Apps sind ständige Angriffsziele, und Sicherheitsfehler können katastrophal sein (Datenverletzungen, Account-Kompromittierung, Verunstaltung).

PHP adressiert die häufigsten und gefährlichsten Web-Sicherheitslücken, aber im Gegensatz zu manchen Frameworks hängt vieles davon ab, dass der Entwickler korrekte Praktiken befolgt.

Die unverzichtbaren Essentials: **Prepared Statements** verhindern SQL-Injection (einer der häufigsten und verheerendsten Angriffe), **Output-Escaping** (`htmlspecialchars`) verhindert XSS, **`password_hash`/`password_verify`** sichern die sichere Passwort-Speicherung (niemals Klartext/schwache Hashes), **CSRF-Tokens** schützen zustandsändernde Anfragen, und **rigorose Input-Validierung** (niemals `$_GET`/`$_POST`/`$_COOKIE` vertrauen) ist die Grundlage.

Gleich wichtig ist **sichere Konfiguration**: Fehlerausgabe in der Produktion abschalten (Fehler lecken sensible Informationen zu Angreifern), Geheimnisse aus dem Code halten, HTTPS und sichere Cookie-Flags verwenden, Uploads validieren und PHP sowie Abhängigkeiten aktuell halten (da anfällige Pakete ein großer Angriffsvektor sind).

Diesen geschichteten, Defense-in-Depth-Ansatz zu verstehen — und dass eine einzige übersehene Schicht (eine Injection, ein durchgesickertes Geheimnis, eine unescapte Ausgabe, eine ungepatchte Abhängigkeit) das gesamte System kompromittieren kann — ist wichtiges, hochrangiges Wissen für jeden PHP-Entwickler.

Während moderne Frameworks (Laravel, Symfony) standardmäßig viele Schutzmaßnahmen bieten, ist das Verständnis der zugrunde liegenden Bedrohungen und Praktiken die wesentliche Verantwortung für den Bau sicherer Anwendungen, was dies zu einem kritischen, häufig relevanten Thema für produktives PHP macht.