แนวปฏิบัติที่ดีด้านความปลอดภัยที่สำคัญใน PHP มีอะไรบ้าง?

Question

Accepted Answer

ความปลอดภัยใน PHP หมายถึงการป้องกันช่องโหว่บนเว็บที่พบบ่อย (OWASP Top 10) ในทุกชั้น ทั้งการจัดการ input, การเข้าถึงฐานข้อมูล, output, การยืนยันตัวตน และการตั้งค่า เนื่องจาก PHP ขับเคลื่อนเว็บจำนวนมาก แนวปฏิบัติเหล่านี้จึงสำคัญยิ่ง

## 1. ป้องกัน SQL injection — prepared statements

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. ป้องกัน XSS — escape ทุก output

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

ทำการ escape ข้อมูลที่ผู้ใช้ควบคุมตอน output (`htmlspecialchars`) เพื่อให้ HTML/JS ที่ถูก inject เข้ามาไม่สามารถทำงานได้ (เทมเพลตเอนจินอย่าง Twig/Blade ทำการ escape ให้อัตโนมัติ)

## 3. แฮชรหัสผ่านอย่างถูกต้อง

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

`password_hash`/`password_verify` ที่มีในตัว PHP ใช้อัลกอริทึมที่แข็งแกร่ง มี salt และทำงานช้า (โดยตั้งใจ) ซึ่งเป็นวิธีที่ถูกต้องในการจัดเก็บรหัสผ่าน

## 4. ป้องกัน CSRF — token

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. ตรวจสอบและล้าง (sanitize) input ทั้งหมด

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. การตั้งค่าที่ปลอดภัยและแนวปฏิบัติอื่น ๆ

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## ทำไมจึงสำคัญ

ความปลอดภัยเป็นสิ่งสำคัญยิ่งสำหรับแอปพลิเคชัน PHP และการเข้าใจแนวปฏิบัติเหล่านี้เป็นสิ่งจำเป็น เพราะ PHP ขับเคลื่อนเว็บส่วนใหญ่ แอป PHP จึงเป็นเป้าหมายการโจมตีตลอดเวลา และความล้มเหลวด้านความปลอดภัยอาจร้ายแรง (ข้อมูลรั่วไหล บัญชีถูกเจาะ หน้าเว็บถูกทำลาย)

PHP จัดการช่องโหว่บนเว็บที่พบบ่อยและอันตรายที่สุดได้ แต่ต่างจากบางเฟรมเวิร์ก สิ่งต่าง ๆ ขึ้นอยู่กับนักพัฒนาที่ปฏิบัติตามแนวทางที่ถูกต้องเป็นอย่างมาก

สิ่งจำเป็นที่ต่อรองไม่ได้: **prepared statements** ป้องกัน SQL injection (หนึ่งในการโจมตีที่พบบ่อยและสร้างความเสียหายมากที่สุด), **การ escape output** (`htmlspecialchars`) ป้องกัน XSS, **`password_hash`/`password_verify`** รับประกันการจัดเก็บรหัสผ่านอย่างปลอดภัย (ไม่เก็บเป็น plaintext หรือใช้แฮชที่อ่อนแอ), **CSRF token** ปกป้อง request ที่เปลี่ยนแปลงสถานะ และ **การตรวจสอบ input อย่างเข้มงวด** (ไม่เชื่อ `$_GET`/`$_POST`/`$_COOKIE` เด็ดขาด) เป็นรากฐาน

สิ่งที่สำคัญไม่แพ้กันคือ **การตั้งค่าที่ปลอดภัย**: การปิดการแสดงข้อผิดพลาดใน production (ข้อผิดพลาดเปิดเผยข้อมูลอ่อนไหวให้ผู้โจมตี), การเก็บความลับให้พ้นจากโค้ด, การใช้ HTTPS และแฟล็ก cookie ที่ปลอดภัย, การตรวจสอบไฟล์อัปโหลด และการอัปเดต PHP และ dependency อยู่เสมอ (เพราะแพ็กเกจที่มีช่องโหว่เป็นช่องทางโจมตีสำคัญ)

การเข้าใจแนวทางแบบหลายชั้น เชิงป้องกันเชิงลึก (defense-in-depth) และเข้าใจว่าชั้นเดียวที่ถูกมองข้าม (การ injection, ความลับที่รั่ว, output ที่ไม่ได้ escape, dependency ที่ไม่ได้แพตช์) สามารถทำให้ทั้งระบบถูกเจาะได้ เป็นความรู้ที่สำคัญและมีความเสี่ยงสูงสำหรับนักพัฒนา PHP ทุกคน

แม้เฟรมเวิร์กสมัยใหม่ (Laravel, Symfony) จะให้การป้องกันหลายอย่างโดยค่าเริ่มต้น แต่การเข้าใจภัยคุกคามและแนวปฏิบัติพื้นฐานเป็นความรับผิดชอบที่จำเป็นต่อการสร้างแอปพลิเคชันที่ปลอดภัย ทำให้นี่เป็นหัวข้อที่สำคัญยิ่งและเกี่ยวข้องบ่อยสำหรับ PHP ใน production