Kateri so ključni varnostni najboljši postopki v PHP?

Question

Accepted Answer

PHP varnost pomeni obrambo pred pogostimi spletnimi ranljivostmi (OWASP Top 10) na vsakem nivoju — obravnavanje vhodnih podatkov, dostop do baze podatkov, izhod, avtentifikacija in konfiguracija. Ker PHP poganja ogromno spletnih strani, so ti postopki kritični.

## 1. Preprečevanje SQL injection — pripravljeni stavki

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. Preprečevanje XSS — escape vsi izhodi

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

Escape podatke nadzirana uporabnika pri izhodu (`htmlspecialchars`), da se injicirani HTML/JS ne morejo izvršiti. (Motorji predlog, kot so Twig/Blade, samodejno escape-ajo.)

## 3. Pravilno heširanje gesel

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

Vgrajeni PHP `password_hash`/`password_verify` uporabljajo močne, soljene, počasne algoritme — pravi način za shranjevanje gesel.

## 4. Preprečevanje CSRF — žetoni

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. Validacija in čiščenje vseh vhodnih podatkov

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. Varna konfiguracija in drugi postopki

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## Zakaj je to pomembno

Varnost je kritična za PHP aplikacije, in razumevanje teh postopkov je bistvenega pomena — ker PHP poganja ogromno spletnih strani, so PHP aplikacije stalne tarče napadov, in varnostni odpovedi lahko povzročijo katastrofalne posledice (podatkovne kraje, kompromitiranje računov, poškodovanje spletnih strani).

PHP naslavlja najpogostejše in najbolj nevarne spletne ranljivosti, vendar za razliko od nekaterih ogrodij, je veliko odvisno od tega, da razvijalec sledi pravilnim postopkom.

Nepogrešljive osnove: **pripravljeni stavki** preprečijo SQL injection (eden od najpogostejših in najbolj opustošnih napadov), **escape izhoda** (`htmlspecialchars`) preprečuje XSS, **`password_hash`/`password_verify`** zagotavljajo varno shranjevanje gesel (nikoli golo besedilo/šibke heše), **CSRF žetoni** varujejo zahteve, ki spreminjajo stanje, in **stroga validacija vhodnih podatkov** (nikoli ne zaupaj `$_GET`/`$_POST`/`$_COOKIE`) je temelj.

Enako pomembna je **varna konfiguracija**: izključitev prikaza napak v produkciji (napake razkrijejo občutljive informacije napadalcem), hranjenje skritosti zunaj kode, uporaba HTTPS in varnih zastavic piškotkov, validacija nalaganj in posodabljanje PHP-ja ter odvisnosti (ker ranljivi paketi so vektor hudega napada).

Razumevanje tega slojevitega, obrambanega pristopa — in da lahko ena prezrta plast (injection, razkrita skritost, neescaped izhod, neuporabljena odvisnost) kompromitira celoten sistem — je pomembno znanje, ki je visoko tvegano za kateregakoli PHP razvijalca.

Čeprav sodobna ogrodja (Laravel, Symfony) zagotavljajo številne zaščite privzeto, je razumevanje osnovnih nevarnosti in postopkov bistvena odgovornost za gradnjo varnih aplikacij, kar to temo naredi kritično in pogosto relevantno za produkcijski PHP.