Каковы ключевые best practices безопасности в PHP?

Question

Accepted Answer

Безопасность PHP означает защиту от распространённых веб-уязвимостей (OWASP Top 10) на каждом уровне — обработка входных данных, доступ к базам данных, вывод, аутентификация и конфигурация. Поскольку PHP питает большую часть веб-сайтов, эти практики критически важны.

## 1. Предотвращение SQL-инъекций — подготовленные запросы

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. Предотвращение XSS — экранирование всех выводов

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

Экранируйте подконтрольные пользователем данные при выводе (`htmlspecialchars`), чтобы внедрённый HTML/JavaScript не мог выполняться. (Шаблонизаторы вроде Twig/Blade экранируют автоматически.)

## 3. Правильное хеширование паролей

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

Встроенные в PHP `password_hash`/`password_verify` используют сильные, соленые, медленные алгоритмы — правильный способ хранения паролей.

## 4. Предотвращение CSRF — токены

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. Валидация и очистка всех входных данных

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. Безопасная конфигурация и другие практики

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## Почему это важно

Безопасность критична для PHP-приложений, и понимание этих практик необходимо — поскольку PHP питает огромную часть веб-сайтов, PHP-приложения постоянно подвергаются атакам, и сбои безопасности могут быть катастрофическими (утечки данных, компрометация учётных записей, дефacement).

PHP решает самые распространённые и опасные веб-уязвимости, но в отличие от некоторых фреймворков, многое зависит от того, следует ли разработчик правильным практикам.

Необходимые essentials: **подготовленные запросы** предотвращают SQL-инъекции (одна из самых распространённых и разрушительных атак), **экранирование выводов** (`htmlspecialchars`) предотвращает XSS, **`password_hash`/`password_verify`** обеспечивают безопасное хранение паролей (никогда в открытом виде/слабые хеши), **CSRF-токены** защищают запросы, изменяющие состояние, и **строгая валидация входных данных** (никогда не доверяйте `$_GET`/`$_POST`/`$_COOKIE`) — основа.

Единственно важна **безопасная конфигурация**: отключение вывода ошибок в production (ошибки утекают чувствительную информацию атакующим), держание секретов вне кода, использование HTTPS и безопасных флагов cookies, валидация загрузок и поддержание PHP и зависимостей в актуальном состоянии (поскольку уязвимые пакеты — основной вектор атак).

Понимание этого многоуровневого, defense-in-depth подхода — и того, что одинокий пропущенный уровень (инъекция, утёкший секрет, неэкранированный вывод, непатченная зависимость) может скомпрометировать всю систему — это важное, высокостоимостное знание для любого PHP-разработчика.

Хотя современные фреймворки (Laravel, Symfony) предоставляют много защит по умолчанию, понимание базовых угроз и практик — существенная ответственность за построение безопасных приложений, делая это критическое, часто релевантное значение для production PHP.