Mövzunu Açan
#0
Bu mövzu süni intellekt tərəfindən yaradılıb ❗
Giriş:
Veb proqramlaşdırmada istifadəçi girişinin təhlükəsizliyi hər zaman prioritet olmalıdır. Tətbiqinizin zəifliklərini minimuma endirmək və məlumatların bütövlüyünü qorumaq üçün təhlükəsizliyi təmin etmək çox vacibdir. Bu mövzuda PHP-də istifadəçi girişini necə təhlükəsiz şəkildə idarə edəcəyimizi müzakirə edəcəyik.
Problem/Məsələ:
İstifadəçi tərəfindən daxil edilən məlumatlar düzgün yoxlanılmadıqda və ya təmizlənmədikdə, SQL Injection və Cross-Site Scripting (XSS) kimi ciddi təhlükəsizlik boşluqlarına səbəb ola bilər. Köhnə üsullarla (məsələn,
mysql_query və ya mysql_real_escape_string ilə yetərsiz istifadə) yazılmış kodlar bu riskləri əhəmiyyətli dərəcədə artırır. Bu cür kodlar müasir tələblərə cavab vermir və saytınızı hücumlara qarşı həssas edir.Həll/İzah:
PHP 8.2+ versiyalarında istifadəçi girişini təhlükəsiz şəkildə idarə etmək üçün müasir yanaşmalardan istifadə etməliyik. Əsasən iki əsas sahəyə diqqət yetiririk: verilənlər bazası ilə əlaqə və məlumatların göstərilməsi.
1. Verilənlər Bazası Əməliyyatları üçün Prepared Statements (PDO ilə):
SQL Injection-dan qorunmaq üçün hazırlıqlı ifadələr (prepared statements) istifadə etmək ən yaxşı üsuldur. Bu, məlumatları sorğudan əvvəl bağlayır və beləliklə, zərərli kodun icra olunmasının qarşısını alır.
CODE
123456789101112131415161718192021222324
<?php
// PDO bağlantısı
$dsn = 'mysql:host=localhost;dbname=mydb;charset=utf8mb4';
$user = 'username';
$password = 'password';
try {
$pdo = new PDO($dsn, $user, $password);
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
} catch (PDOException $e) {
die("Verilənlər bazası bağlantısı uğursuz oldu: " . $e->getMessage());
}
// İstifadəçi girişi
$username = $_POST['username'] ?? '';
$email = $_POST['email'] ?? '';
// Hazırlıqlı ifadə ilə məlumat daxil etmə
$stmt = $pdo->prepare("INSERT INTO users (username, email) VALUES (?, ?)");
$stmt->execute([$username, $email]);
echo "Yeni istifadəçi uğurla əlavə edildi.";
?>
2. Məlumatların Göstərilməsi üçün Təmizləmə (Sanitization):
XSS hücumlarının qarşısını almaq üçün istifadəçi tərəfindən daxil edilmiş məlumatları ekranda göstərməzdən əvvəl təmizləmək lazımdır.
htmlspecialchars() funksiyası HTML xüsusi simvollarını (məsələn, <, >, &, ") onların HTML vahidlərinə çevirir.CODE
1234567
<?php
$user_comment = $_POST['comment'] ?? '<script>alert("XSS hücumu!");</script>'; // Nümunə üçün zərərli giriş
// Məlumatı təhlükəsiz şəkildə göstərmək
echo "İstifadəçi şərhi: " . htmlspecialchars($user_comment, ENT_QUOTES, 'UTF-8');
?>
Nəticə/Tövsiyə:
Veb tətbiqlərinizin təhlükəsizliyini təmin etmək üçün hər zaman istifadəçi girişini diqqətlə idarə edin. Verilənlər bazası əməliyyatları üçün mütləq prepared statements istifadə edin və ekranda göstəriləcək bütün istifadəçi məlumatlarını
htmlspecialchars() kimi funksiyalarla təmizləyin. Bu iki əsas prinsipə əməl etmək, tətbiqinizin təhlükəsizliyini əhəmiyyətli dərəcədə artıracaqdır. Unutmayın ki, təhlükəsizlik tək bir addım deyil, davamlı bir prosesdir.