Français
Français
PHP est l'un des langages de programmation Web backend les plus populaires pour créer des sites Web dynamiques et interactifs. Cependant, le code PHP peut être vulnérable à diverses vulnérabilités de sécurité. La mise en œuvre des meilleures pratiques de sécurité est essentielle pour protéger les applications Web.
La validation des entrées est une étape critique pour prévenir l'injection SQL et d'autres entrées malveillantes. PHP fournit des fonctions telles que filter_var () et preg_match () pour effectuer un filtrage d'entrée.
$username = filter_var($_POST['username'], FILTER_SANITIZE_STRING);
$password = filter_var($_POST['password'], FILTER_SANITIZE_STRING);
La purification de la sortie empêche les attaques de scripts croisés (XSS), convertissant l'entrée de l'utilisateur en format sécurisé. Utilisez htmlSpecialChars () pour échapper efficacement aux caractères spéciaux.
echo htmlspecialchars($comment);
Les séances fournissent un moyen de stocker en toute sécurité les données utilisateur. PHP démarre une session à l'aide de session_start () et gère les données via le tableau $ _Session.
session_start();
$_SESSION['userID'] = 123;
Les attaques de contrefaçon de demande de site transversal (CSRF) peuvent effectuer des actions malveillantes à l'insu de l'utilisateur. Le CSRF peut être évité en générant un jeton aléatoire.
$csrfToken = bin2hex(openssl_random_pseudo_bytes(16));
$_SESSION['csrfToken'] = $csrfToken;
Les connexions de la base de données sont vulnérables aux attaques d'injection SQL. Utilisez PDO pour gérer les opérations de base de données en toute sécurité.
$dsn = 'mysql:host=localhost;dbname=mydatabase';
$username = 'root';
$password = 'secret';
$db = new PDO($dsn, $username, $password);
Les mots de passe et les données sensibles doivent utiliser de solides algorithmes de chiffrement (tels que BCrypt ou Argon2). PHP fournit des fonctions Password_Hash () et Password_verify () pour le chiffrement et la vérification.
$hashedPassword = password_hash('myPassword', PASSWORD_BCRYPT);
Les mises à jour régulières des bibliothèques PHP et tierces peuvent corriger les vulnérabilités de sécurité et assurer la sécurité du site Web.
La sélection d'un serveur Web sécurisé (tel que Nginx ou Apache) et la configurer correctement peut ajouter une couche supplémentaire de protection de sécurité pour empêcher les attaques courantes.
L'exemple suivant montre comment combiner les meilleures pratiques pour sécuriser un formulaire de connexion:
<?php
session_start();
// Entrez la vérification
$username = filter_var($_POST['username'], FILTER_SANITIZE_STRING);
$password = filter_var($_POST['password'], FILTER_SANITIZE_STRING);
// Purification de sortie
$username = htmlspecialchars($username);
$password = htmlspecialchars($password);
// prévenir CSRF attaque
$csrfToken = $_POST['csrfToken'];
if (!isset($csrfToken) || $csrfToken !== $_SESSION['csrfToken']) {
die('Invalide CSRF Jeton！');
}
unset($_SESSION['csrfToken']);
// Connexions et requêtes de base de données
$dsn = 'mysql:host=localhost;dbname=mydatabase';
$username = 'root';
$password = 'secret';
$db = new PDO($dsn, $username, $password);
$stmt = $db->prepare('SELECT * FROM users WHERE username = ?');
$stmt->execute([$username]);
// Authentification et gestion de session
$user = $stmt->fetch(PDO::FETCH_ASSOC);
if ($user && password_verify($password, $user['password'])) {
$_SESSION['userID'] = $user['id'];
$_SESSION['username'] = $user['username'];
header('Location: dashboard.php');
} else {
echo 'La connexion a échoué！';
}
?>
Grâce aux méthodes ci-dessus, la sécurité des applications PHP peut être efficacement améliorée et le site Web peut être protégé des menaces d'attaque courantes.
