Kokie yra pagrindinės saugos geriausia praktika PHP?

Question

Accepted Answer

PHP saugumas reiškia gynybą nuo bendrų žiniatinklio pažeidžiamumų (OWASP Top 10) kiekviename sluoksnyje — įvesties apdorojimas, duomenų bazės prieiga, išvestis, autentifikacija ir konfigūracija. Kadangi PHP vagia tokią didelę žiniatinklio dalį, šios praktikos yra kritiškai svarbi.

## 1. Išvenkti SQL injekcijos — parengti sakiniai

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. Išvenkti XSS — pabėgti visa išvestis

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

Pabėgkite naudotojo kontroliuojamus duomenis išvestyje (`htmlspecialchars`), kad sugadinti HTML/JS negali vykdytis. (Šablonų variklis kaip Twig/Blade automatiškai pabėga.)

## 3. Taisyklingai maišyti slaptažodžius

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

PHP integruotas `password_hash`/`password_verify` naudoja stiprius, sūlintus, lėtus algoritmus — teisingas būdas saugoti slaptažodžius.

## 4. Išvenkti CSRF — žetonai

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. Patvirtinti ir dezinfekuoti visa įvestis

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. Saugi konfigūracija ir kitos praktikos

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## Kodėl tai svarbu

Saugumas yra labai svarbus PHP programoms, ir šių praktikų supratimas yra būtinas — nes PHP vagia didžiulę žiniatinklio dalį, PHP programos yra nuolatiniai atakos taikiniai, ir saugumo nepavyzdžiai gali būti katastrofiški (duomenų nuotėkis, paskyros kompromitavimas, defasavimas).

PHP sprendžia dažniausiai pasitaikančius ir pavojingiausias žiniatinklio pažeidžiamumus, tačiau skirtingai nei kai kuriuos karkasus, daug priklauso nuo to, kad kūrėjas laikatūsi teisingų praktikų.

Neabejotini esencialai: **parengti sakiniai** užkerta kelią SQL injekcijoms (viena iš dažniausių ir žalingiausių atakų), **išvesties pabėgimas** (`htmlspecialchars`) užkerta kelią XSS, **`password_hash`/`password_verify`** užtikrinti saugų slaptažodžio saugojimą (niekada gryna tekstu/silpni maišai), **CSRF žetonai** apsaugoti valstybę keičiančius prašymus, ir **griežtas įvesties patikrinimas** (niekada nepasitikint `$_GET`/`$_POST`/`$_COOKIE`) yra pagrindas.

Be to, svarbi **saugi konfigūracija**: klaidų rodymo išjungimas gamyboje (klaidos atskleidžia jautrias informacijas atakuotojams), paslapčių laikymas iš kodo, HTTPS ir saugių slapuko žymių naudojimas, įkėlimų patikrinimas ir PHP bei priklausomybių atnaujinimas (nes pažeidžiami paketai yra pagrindinė atakos vektorius).

Supratimas šio sluoksninio, gynybos į gylį metodo — ir kad vienas nepastebėtas sluoksnis (injekcija, nucieta paslaptis, nepabėgta išvestis, nepataisyta priklausomybė) gali sukomprometinti visą sistemą — yra svarbi, aukštos rizikos žinios bet kuriam PHP kūrėjui.

Nors modernūs karkasai (Laravel, Symfony) teikia daug apsaugos pagal numatytuosius parametrus, supratimas apie pagrindinius grėsmės ir praktikos yra būtina atsakomybė kurti saugias aplikacijas, dėl to tai kritinė, dažnai susijusi tema gamybos PHP.