რა არის PHP-ში უსაფრთხოების ძირითადი საუკეთესო პრაქტიკა?

Question

Accepted Answer

PHP უსაფრთხოება ნიშნავს თავდაცვას სახელმწიფო ვებ-დაზიანებლობისგან (OWASP Top 10) ყოველ დონეზე — შენატანის დამუშავება, მონაცემთა ბაზაზე წვდომა, გამოსახვა, ავთენტიკაცია და კონფიგურაცია. ვინაიდან PHP ის დიდი ნაწილი ძლევს ვებს, ეს პრაქტიკა კრიტიკული აუცილებელია.

## 1. SQL ინჯექციის პრევენცია — მომზადებული განცხადებები

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. XSS-ის პრევენცია — ყველა გამოსახვის esc დაზღვევა

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

გამოსახვაზე მომხმარებელთან დაკავშირებული მონაცემების esc დაზღვევა (`htmlspecialchars`) ისე რომ ინჯექტირებული HTML/JS არ შეძლოს შესრულება. (Template ძრავები როგორებიცაა Twig/Blade ავტომატურად esc დაზღვავენ.)

## 3. პაროლების სწორი ჰეშირება

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

PHP-ს ჩაშენებული `password_hash`/`password_verify` იყენებს ძლიერ, მარილიანო, ნელ ალგორითმებს — პაროლების შესანახი სწორი ხერხი.

## 4. CSRF-ის პრევენცია — tokens

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. ყველა შენატანის ვალიდირება და სანიტაცია

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. უსაფრთხო კონფიგურაცია და სხვა პრაქტიკა

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## რატომ აქვს მნიშვნელობა

უსაფრთხოება PHP აპლიკაციებისთვის კრიტიკული, და ამ პრაქტიკის გაგება აუცილებელია — ვინაიდან PHP ის დიდი ნაწილი ძლევს ვებს, PHP აპლიკაციები მუდმივი თავდასხმის ობიექტია, და უსაფრთხოების წარუმატებლობა შეიძლება კატასტროფული იყოს (მონაცემების დაკარგვა, ანგარიშის კომპრომისი, დეფეისი).

PHP დაამტკიცებს ყველაზე გავრცელებული და საშიში ვებ-დაზიანებლობის, მაგრამ ზოგიერთი ჩარჩოს მსგავსად, ბევრი დამოკიდებულია დეველოპერის სწორი პრაქტიკის მიყოლაზე.

დანადგარული საჭირო მინიმუმი: **მომზადებული განცხადებები** აკეთებს SQL ინჯექციის პრევენციას (ერთი ყველაზე გავრცელებული და დამღუპველი თავდასხმა), **გამოსახვის esc დაზღვევა** (`htmlspecialchars`) აკეთებს XSS-ის პრევენციას, **`password_hash`/`password_verify`** უზრუნველყოფს უსაფრთხო პაროლების შენახვას (არასდროს plain text/სუსტი ჰეშები), **CSRF tokens** იცავს სახელმწიფო-შეცვლის მოთხოვნებს, და **მკაცრი შენატანის ვალიდირება** (არასდროს ენდობა `$_GET`/`$_POST`/`$_COOKIE`) არის საფუძველი.

თანაბრად მნიშვნელოვანი არის **უსაფრთხო კონფიგურაცია**: შეცდომების ჩვენების გამორთვა production-ში (შეცდომები ატყვებენ მგრძნობიარე ინფორმაციას თავდამსხმელებს), საიდუმლოებების კოდის გარეთ შენახვა, HTTPS-ის და უსაფრთხო cookie flags-ის გამოყენება, ატვირთვების ვალიდირება, და PHP-სა და დამოკიდებულობების განახლება (ვინაიდან დაუცველი პაკეტები თავდასხმის ძირითადი ვექტორია).

ამ ფენიანი, defense-in-depth მიდგომის გაგება — და რომ ერთი გამოტოვებული ფენა (ინჯექცია, ატეხილი საიდუმლო, esc დაზღვეული გამოსახვა, განახლებული დამოკიდებულობა) შეიძლება დააკომპრომიტოს მთელი სისტემა — მნიშვნელოვანი, მაღალი-რისკის ცოდნა ნებისმიერი PHP დეველოპერისთვის.

მაშინაც კი, თუ თანამედროვე ჩარჩოები (Laravel, Symfony) რთავენ ბევრ დაცვას ნაგულისხმევად, ძირითადი საფრთხეებისა და პრაქტიკის გაგება აუცილებელი პასუხისმგებლობაა უსაფრთხო აპლიკაციების აშენებისთვის, რაც ამ თემას კრიტიკულ, ხშირად-დამაკავშირებელ კითხვად აკეთებს production PHP-სთვის.