PHP میں کلیدی سیکیورٹی بہترین طریقے کیا ہیں؟

Question

Accepted Answer

PHP سیکیورٹی کا مطلب عام ویب کمزوریوں (OWASP Top 10) کے خلاف ہر سطح پر دفاع کرنا ہے — input ہینڈلنگ، ڈیٹا بیس رسائی، output، authentication، اور configuration۔ چونکہ PHP ویب کے بہت بڑے حصے کو چلاتا ہے، یہ طریقے نہایت اہم ہیں۔

## 1. SQL injection سے بچیں — prepared statements

```php
// ❌ NEVER concatenate user input into SQL
$pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);   // INJECTION
// ✅ ALWAYS use prepared statements (input treated as data, not SQL)
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);
```

## 2. XSS سے بچیں — تمام output کو escape کریں

```php
// ❌ echoing raw user input → XSS (injected scripts run in the browser)
echo $_GET['name'];
// ✅ escape output for HTML context
echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
```

User-controlled ڈیٹا کو output میں escape کریں (`htmlspecialchars`) تاکہ injected HTML/JS execute نہ ہو سکے۔ (Templating engines جیسے Twig/Blade خود بخود escape کرتے ہیں۔)

## 3. Passwords کو صحیح طریقے سے Hash کریں

```php
// ✅ use password_hash (bcrypt/argon2) — never plaintext, never MD5/SHA
$hash = password_hash($password, PASSWORD_DEFAULT);
// verify:
if (password_verify($input, $hash)) { /* correct password */ }
```

PHP کے built-in `password_hash`/`password_verify` طاقتور، salted، سست algorithms استعمال کرتے ہیں — passwords محفوظ کرنے کا درست طریقہ۔

## 4. CSRF سے بچیں — tokens

```php
// generate a token, store in the session, include in forms, verify on submit
$_SESSION['csrf'] = bin2hex(random_bytes(32));
// verify on POST: hash_equals($_SESSION['csrf'], $_POST['csrf'])
```

## 5. تمام input کو validate اور sanitize کریں

```php
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);   // validate
$id = (int) $_GET['id'];                                        // cast/whitelist
// never trust $_GET/$_POST/$_COOKIE — validate everything
```

## 6. محفوظ configuration اور دیگر طریقے

```text
✓ display_errors=Off in production (don't leak stack traces/internals to users — log instead)
✓ Keep secrets in env vars / config outside the web root, NOT in code/git
✓ Use HTTPS; set secure/httponly/samesite cookie flags
✓ Keep PHP and dependencies UPDATED (composer audit for vulnerable packages)
✓ Validate file uploads (type, size); store outside the web root
✓ Use a maintained framework (Laravel/Symfony) — they handle many protections by default
```

## یہ کیوں اہم ہے

PHP applications کے لیے سیکیورٹی انتہائی اہم ہے، اور ان طریقوں کو سمجھنا ضروری ہے — کیونکہ PHP ویب کے ایک بہت بڑے حصے کو چلاتا ہے، PHP apps مسلسل حملوں کا نشانہ ہیں، اور سیکیورٹی کی ناکامی تباہ کن ہو سکتی ہے (ڈیٹا کی خلاف ورزی، اکاؤنٹ کی سمجھوتا، تبدیلی)۔

PHP سب سے عام اور خطرناک ویب کمزوریوں سے نمٹتا ہے، لیکن کچھ frameworks کے برعکس، زیادہ تر کام developer پر منحصر ہے کہ وہ صحیح طریقے اپلائی کریں۔

غیر قابل تنازع ضروری چیزیں: **prepared statements** SQL injection سے بچاتے ہیں (سب سے عام اور تباہ کن حملوں میں سے ایک)، **output escaping** (`htmlspecialchars`) XSS سے بچاتا ہے، **`password_hash`/`password_verify`** محفوظ password storage کو یقینی بناتے ہیں (کبھی plaintext/ضعیف hashes نہیں)، **CSRF tokens** state-changing requests کی حفاظت کرتے ہیں، اور **سخت input validation** (`$_GET`/`$_POST`/`$_COOKIE` پر کبھی اعتماد نہ کریں) بنیاد ہے۔

برابر اہم ہے **محفوظ configuration**: production میں error display بند کرنا (errors حملہ آوروں کو حساس معلومات دیتی ہے)، secrets کو code سے باہر رکھنا، HTTPS اور محفوظ cookie flags استعمال کرنا، uploads کی تصدیق کرنا، اور PHP اور dependencies کو updated رکھنا (کیونکہ vulnerable packages ایک بڑا حملہ ویکٹر ہیں)۔

اس layered، defense-in-depth approach کو سمجھنا — اور یہ کہ ایک نظر انداز شدہ layer (ایک injection، ایک leaked secret، ایک unescaped output، ایک unpatched dependency) پوری system کو سمجھوتے میں ڈال سکتا ہے — اہم، اعلیٰ داؤ والی معلومات ہے کسی بھی PHP developer کے لیے۔

جبکہ جدید frameworks (Laravel, Symfony) بہت سی حفاظت default کے طور پر فراہم کرتے ہیں، بنیادی خطرات اور طریقوں کو سمجھنا محفوظ applications بنانے کی لازمی ذمہ داری ہے، یہ ایک اہم، بار بار متعلقہ موضوع ہے production PHP کے لیے۔