¿Cuáles son las mejores prácticas clave de seguridad en PHP?

Question

Accepted Answer

La seguridad en PHP significa defenderse contra las vulnerabilidades web comunes (OWASP Top 10) en cada capa — manejo de entrada, acceso a bases de datos, salida, autenticación y configuración. Dado que PHP potencia gran parte de la web, estas prácticas son críticas.

## 1. Prevenir inyección SQL — sentencias preparadas

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. Prevenir XSS — escapar toda salida

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

Escapa los datos controlados por el usuario en la salida (`htmlspecialchars`) para que el HTML/JS inyectado no pueda ejecutarse. (Los motores de plantillas como Twig/Blade escapan automáticamente.)

## 3. Hashear contraseñas correctamente

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

Los `password_hash`/`password_verify` incorporados de PHP utilizan algoritmos fuertes, salados y lentos — la forma correcta de almacenar contraseñas.

## 4. Prevenir CSRF — tokens

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. Validar y sanitizar toda entrada

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. Configuración segura y otras prácticas

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## Por qué es importante

La seguridad es crítica para las aplicaciones PHP, y entender estas prácticas es esencial — porque PHP potencia una enorme porción de la web, las aplicaciones PHP son objetivos constantes de ataques, y los fallos de seguridad pueden ser catastróficos (brechas de datos, compromiso de cuentas, desfiguración).

PHP aborda las vulnerabilidades web más comunes y peligrosas, pero a diferencia de algunos frameworks, mucho depende de que el desarrollador siga prácticas correctas.

Las esencias innegociables: **sentencias preparadas** previenen inyección SQL (uno de los ataques más comunes y devastadores), **escapar salida** (`htmlspecialchars`) previene XSS, **`password_hash`/`password_verify`** aseguran almacenamiento seguro de contraseñas (nunca texto plano/hashes débiles), **tokens CSRF** protegen solicitudes que cambian estado, y **validación rigurosa de entrada** (nunca confiar en `$_GET`/`$_POST`/`$_COOKIE`) es el fundamento.

Igualmente importante es la **configuración segura**: desactivar la visualización de errores en producción (los errores filtran información sensible a los atacantes), mantener secretos fuera del código, usar HTTPS y banderas de cookies seguras, validar cargas, y mantener PHP y dependencias actualizados (ya que los paquetes vulnerables son un vector de ataque importante).

Entender este enfoque en capas de defensa en profundidad — y que una sola capa pasada por alto (una inyección, un secreto filtrado, una salida sin escapar, una dependencia sin parches) puede comprometer todo el sistema — es conocimiento importante y de alto riesgo para cualquier desarrollador de PHP.

Aunque los frameworks modernos (Laravel, Symfony) proporcionan muchas protecciones por defecto, entender las amenazas y prácticas subyacentes es una responsabilidad esencial para construir aplicaciones seguras, haciendo de este un tema crítico y frecuentemente relevante para PHP en producción.