PHP में प्रमुख security सर्वोत्तम अभ्यास क्या हैं?

Question

Accepted Answer

PHP security का अर्थ है हर परत पर सामान्य web vulnerabilities (OWASP Top 10) के खिलाफ बचाव करना — input handling, database access, output, authentication, और configuration। चूँकि PHP web का इतना अधिक हिस्सा संचालित करता है, ये अभ्यास निर्णायक हैं।

## 1. SQL injection रोकें — prepared statements

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. XSS रोकें — सभी output escape करें

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

output पर user-controlled data को escape करें (`htmlspecialchars`) ताकि injected HTML/JS execute न हो सके। (Twig/Blade जैसे templating engines auto-escape करते हैं।)

## 3. passwords को ठीक से hash करें

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

PHP के built-in `password_hash`/`password_verify` मजबूत, salted, धीमे algorithms का उपयोग करते हैं — passwords को संग्रहीत करने का सही तरीका।

## 4. CSRF रोकें — tokens

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. सभी input को validate और sanitize करें

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. सुरक्षित configuration और अन्य अभ्यास

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## यह क्यों महत्वपूर्ण है

Security PHP applications के लिए निर्णायक है, और इन अभ्यासों को समझना आवश्यक है — क्योंकि PHP web के एक बड़े हिस्से को संचालित करता है, PHP apps लगातार attack targets हैं, और security failures विनाशकारी हो सकती हैं (data breaches, account compromise, defacement)।

PHP सबसे आम और खतरनाक web vulnerabilities को संबोधित करता है, लेकिन कुछ frameworks के विपरीत, बहुत कुछ developer द्वारा सही अभ्यासों का पालन करने पर निर्भर करता है।

गैर-समझौता योग्य आवश्यक तत्व: **prepared statements** SQL injection को रोकते हैं (सबसे आम और विनाशकारी attacks में से एक), **output escaping** (`htmlspecialchars`) XSS को रोकता है, **`password_hash`/`password_verify`** सुरक्षित password storage सुनिश्चित करते हैं (कभी plaintext/कमज़ोर hashes नहीं), **CSRF tokens** state-changing requests की रक्षा करते हैं, और **कठोर input validation** (`$_GET`/`$_POST`/`$_COOKIE` पर कभी भरोसा न करना) नींव है।

समान रूप से महत्वपूर्ण है **सुरक्षित configuration**: production में error display को बंद करना (errors attackers को संवेदनशील जानकारी लीक करते हैं), secrets को code से बाहर रखना, HTTPS और सुरक्षित cookie flags का उपयोग करना, uploads को validate करना, और PHP तथा dependencies को updated रखना (चूँकि vulnerable packages एक प्रमुख attack vector हैं)।

इस परतदार, defense-in-depth दृष्टिकोण को समझना — और यह कि एक अकेली अनदेखी परत (एक injection, एक leaked secret, एक unescaped output, एक unpatched dependency) पूरे system को compromise कर सकती है — किसी भी PHP developer के लिए महत्वपूर्ण, उच्च-दांव ज्ञान है।

जबकि आधुनिक frameworks (Laravel, Symfony) कई सुरक्षाएँ default रूप से प्रदान करते हैं, अंतर्निहित खतरों और अभ्यासों को समझना सुरक्षित applications बनाने के लिए आवश्यक जिम्मेदारी है, जो इसे production PHP के लिए एक निर्णायक, बार-बार प्रासंगिक विषय बनाता है।