Jakie są kluczowe najlepsze praktyki bezpieczeństwa w PHP?

Question

Accepted Answer

Bezpieczeństwo PHP oznacza obronę przed typowymi podatnościami internetowymi (OWASP Top 10) na każdej warstwie — obsługa wejścia, dostęp do bazy danych, wyjście, autentykacja i konfiguracja. Ponieważ PHP napędza tak wiele stron internetowych, te praktyki są krytyczne.

## 1. Zapobiegaj SQL injection — prepared statements

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. Zapobiegaj XSS — escape'uj wszystkie wyjścia

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

Escape'uj dane kontrolowane przez użytkownika na wyjściu (`htmlspecialchars`), aby wstrzyknięty HTML/JS nie mógł się wykonać. (Silniki szablonów takie jak Twig/Blade auto-escape'ują.)

## 3. Hashuj hasła prawidłowo

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

Wbudowane w PHP `password_hash`/`password_verify` używają silnych, solonych, wolnych algorytmów — prawidłowy sposób przechowywania haseł.

## 4. Zapobiegaj CSRF — tokeny

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. Weryfikuj i oczyszczaj wszystkie wejścia

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. Bezpieczna konfiguracja i inne praktyki

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## Dlaczego to ważne

Bezpieczeństwo jest krytyczne dla aplikacji PHP, a zrozumienie tych praktyk jest niezbędne — ponieważ PHP napędza ogromną część sieci, aplikacje PHP są stałym celem ataków, a awarie bezpieczeństwa mogą być katastrofalne (wycieki danych, kompromitacja konta, oszpecenie).

PHP rozwiązuje najczęstsze i najbardziej niebezpieczne podatności internetowe, ale w przeciwieństwie do niektórych frameworków, wiele zależy od tego, czy deweloper stosuje prawidłowe praktyki.

Nie do negocjowania essencje: **prepared statements** zapobiegają SQL injection (jeden z najczęstszych i najbardziej niszczycielskich ataków), **escape'owanie wyjścia** (`htmlspecialchars`) zapobiega XSS, **`password_hash`/`password_verify`** zapewniają bezpieczne przechowywanie haseł (nigdy plaintext/słabe hashe), **tokeny CSRF** chronią żądania zmieniające stan, a **rygorystyczna walidacja wejścia** (nigdy niezaufanie `$_GET`/`$_POST`/`$_COOKIE`) jest fundamentem.

Również ważna jest **bezpieczna konfiguracja**: wyłączanie wyświetlania błędów w produkcji (błędy ujawniają wrażliwe informacje atakującym), trzymanie sekretów poza kodem, używanie HTTPS i bezpiecznych flag ciasteczek, walidacja przesyłów, oraz aktualizowanie PHP i zależności (ponieważ podatne pakiety są głównym wektorem ataku).

Zrozumienie tej warstwowej, obronnej podejścia in-depth — oraz tego, że pojedyncza przeoczona warstwa (iniekcja, wyciek sekretu, niezapewnienie wyjścia, niepoprawiona zależność) może skompromitować cały system — jest ważną, wysokostawienną wiedzą dla każdego dewelopera PHP.

Chociaż nowoczesne frameworki (Laravel, Symfony) zapewniają wiele zabezpieczeń domyślnie, zrozumienie podstawowych zagrożeń i praktyk jest istotną odpowiedzialnością dla budowania bezpiecznych aplikacji, co czyni to krytycznym, często istotnym tematem dla produkcyjnego PHP.