Ποιες είναι οι βασικές πρακτικές ασφάλειας στη PHP;

Question

Accepted Answer

Η ασφάλεια PHP σημαίνει αμυντικά μέτρα κατά των κοινών web vulnerabilities (OWASP Top 10) σε κάθε επίπεδο — επεξεργασία εισόδου, πρόσβαση βάσης δεδομένων, έξοδος, πιστοποίηση και διαμόρφωση. Επειδή η PHP χρησιμοποιείται σε τόσο μεγάλο μέρος του web, αυτές οι πρακτικές είναι κρίσιμες.

## 1. Πρόληψη SQL injection — prepared statements

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. Πρόληψη XSS — escape όλης της εξόδου

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

Εscape δεδομένων που ελέγχονται από τον χρήστη κατά την έξοδο (`htmlspecialchars`) ώστε η ενσωματωμένη HTML/JavaScript να μην μπορεί να εκτελεστεί. (Τα templating engines όπως Twig/Blade αυτοματοποιούν το escaping.)

## 3. Hash κωδικών πρόσβασης σωστά

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

Η built-in συνάρτηση `password_hash`/`password_verify` της PHP χρησιμοποιεί ισχυρούς, salted, αργούς αλγορίθμους — ο σωστός τρόπος αποθήκευσης κωδικών πρόσβασης.

## 4. Πρόληψη CSRF — tokens

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. Επαλήθευση και sanitization όλης της εισόδου

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. Ασφαλής διαμόρφωση και άλλες πρακτικές

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## Γιατί έχει σημασία

Η ασφάλεια είναι κρίσιμη για τις εφαρμογές PHP, και η κατανόηση αυτών των πρακτικών είναι απαραίτητη — επειδή η PHP χρησιμοποιείται σε ένα τεράστιο μέρος του web, οι εφαρμογές PHP είναι συνεχείς στόχοι επιθέσεων, και οι αστοχίες ασφάλειας μπορεί να είναι καταστροφικές (διαρροές δεδομένων, compromise λογαριασμών, defacement).

Η PHP αντιμετωπίζει τις πιο κοινές και επικίνδυνες web vulnerabilities, αλλά σε αντίθεση με ορισμένα frameworks, πολλά εξαρτώνται από την τήρηση των σωστών πρακτικών από τον developer.

Τα μη αμφισβητούμενα απαραίτητα: **prepared statements** προλαμβάνουν SQL injection (μία από τις πιο κοινές και καταστροφικές επιθέσεις), **output escaping** (`htmlspecialchars`) προλαμβάνει XSS, **`password_hash`/`password_verify`** διασφαλίζουν ασφαλή αποθήκευση κωδικών πρόσβασης (ποτέ plaintext/ασθενείς hashes), **CSRF tokens** προστατεύουν τα αιτήματα αλλαγής κατάστασης, και **αυστηρή επαλήθευση εισόδου** (να μη εμπιστεύεστε `$_GET`/`$_POST`/`$_COOKIE`) είναι το θεμέλιο.

Εξίσου σημαντική είναι η **ασφαλής διαμόρφωση**: απενεργοποίηση της εμφάνισης σφαλμάτων σε production (τα σφάλματα διαρρέουν ευαίσθητες πληροφορίες στους επιτιθέμενους), κρατώντας τα secrets έξω από τον κώδικα, χρησιμοποιώντας HTTPS και secure cookie flags, επικύρωση uploads, και κρατώντας PHP και dependencies ενημερωμένα (επειδή τα vulnerable packages είναι ένα μεγάλο διάνυσμα επίθεσης).

Η κατανόηση αυτής της στρωματοποιημένης, defense-in-depth προσέγγισης — και ότι ένα ενιαίο παραγνωρισμένο επίπεδο (injection, διαρροή secret, unescaped output, unpatched dependency) μπορεί να θέσει σε κίνδυνο ολόκληρο το σύστημα — είναι σημαντική, υψηλής στάθμης γνώση για κάθε PHP developer.

Αν και τα σύγχρονα frameworks (Laravel, Symfony) παρέχουν πολλές προστασίες από προεπιλογή, η κατανόηση των υποκείμενων απειλών και πρακτικών είναι απαραίτητη ευθύνη για την κατασκευή ασφαλών εφαρμογών, καθιστώντας αυτό ένα κρίσιμο, συχνά σχετικό θέμα για production PHP.