كيفية تعقيم إدخال المستخدم في PHP: 7 أخطاء قاتلة وحلولها

تعلم Python بسهولة دون إرهاق نظري. حل مهام عملية مع التحقق التلقائي واكتب الكود مباشرة في المتصفح.

مقدمة: لماذا يمكن اختراق موقعك على PHP الآن؟

تخيل الموقف: لقد كتبت موقعًا رائعًا على PHP، نموذج اتصال، تعليقات، لوحة تحكم. كل شيء يعمل. ولكن في يوم من الأيام، تدخل إلى لوحة التحكم فتجدها فارغة. أو الأسوأ: يظهر إعلان كازينو على موقعك، ويقوم Google بحظر مصدرك. هل يبدو ذلك مألوفًا؟ أصل الشر هو المعالجة غير الصحيحة لإدخال المستخدم.

سؤال "How can I sanitize user input with PHP?" هو أحد أكثر الأسئلة شيوعًا على Stack Overflow. آلاف المطورين يتعثرون في نفس الأخطاء. في هذا المقال، سنستعرض أهم الأخطاء التي يرتكبها حتى المبرمجون ذوو الخبرة، ونوضح كيفية تجنبها. ستتعلم كيفية الحماية من XSS، حقن SQL، والهجمات الأخرى. هيا بنا!

\n\n

الخطأ رقم 1: استخدام `mysql_real_escape_string()` لكل شيء

المدرسة القديمة: لا يزال العديد من المطورين يعتقدون أنه إذا قاموا بتغليف جميع البيانات بـ mysql_real_escape_string()، فسيتم حل المشكلة. هذا خطأ فادح. هذه الوظيفة مخصصة فقط لهروب السلاسل في استعلامات SQL، وحتى ذلك الحين، للإضافة القديمة mysql_* التي تمت إزالتها في PHP 7.

مثال على كود خاطئ:

<?php\n$name = mysql_real_escape_string($_POST['name']);\n$query = "INSERT INTO users (name) VALUES ('$name')";\n$result = mysql_query($query);\n?>

لماذا هذا سيء:

الوظيفة لا تحمي من هجمات XSS (مثل إدراج JavaScript).
الإضافة mysql_* قديمة وغير آمنة.
أنت تخلط منطق الهروب مع منطق الأعمال.

كيفية الإصلاح: استخدم الاستعلامات المعدة (prepared statements) عبر PDO أو MySQLi. ولعرض البيانات على الشاشة، استخدم تعقيمًا منفصلاً.

\n\n

الخطأ رقم 2: تجاهل هجمات XSS عند عرض البيانات

الخطأ الأكثر شيوعًا. لقد استلمت البيانات، وحفظتها في قاعدة البيانات، ثم تقوم بعرضها ببساطة عبر echo أو print. وفجأة، يمكن للمهاجم إدراج سكريبت يسرق ملفات تعريف الارتباط، أو يعيد توجيه المستخدم، أو يفسد التنسيق.

مثال على كود ضعيف:

<?php\necho "<p>مرحبًا، " . $_GET['name'] . "!</p>";\n?>

إذا تم تمرير ?name=<script>alert('XSS')</script> في URL، فسيتم تنفيذ السكريبت.

الحل: استخدم وظيفة htmlspecialchars() مع المعامل ENT_QUOTES:

<?php\n$name = htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');\necho "<p>مرحبًا، " . $name . "!</p>";\n?>

هام: يجب إجراء التعقيم في لحظة العرض، وليس عند الحفظ. إذا قمت باستبدال الأحرف في قاعدة البيانات، فستفقد البيانات الأصلية.

\n\n

الخطأ رقم 3: التصفية العمياء عبر `strip_tags()`

يعتقد الكثيرون: "أوه، سأزيل كل وسوم HTML فقط - وسيكون الأمر على ما يرام". لكن strip_tags() ليست حلاً سحريًا. أولاً، تزيل الوسوم فقط، لكنها تترك السمات (مثل onclick). ثانيًا، إذا كنت بحاجة إلى السماح بجزء من الوسوم (مثل <b> أو <i>)، فإن strip_tags() تصبح غير مريحة.

مثال:

<?php\n$comment = strip_tags($_POST['comment']);\necho $comment; // ستزيل <script>، لكنها ستبقي <a onclick="...">\n?>

الحل: استخدم htmlspecialchars() للنص العادي، أو مكتبات مثل HTML Purifier إذا كنت بحاجة إلى السماح بوسوم معينة. HTML Purifier يتحقق ليس فقط من الوسوم، ولكن أيضًا من السمات والأنماط وحتى CSS.

\n\n

الخطأ رقم 4: عدم التحقق من صحة البريد الإلكتروني، URL، والأرقام

التعقيم لا يقتصر فقط على XSS. إذا كنت تتوقع بريدًا إلكترونيًا، وتستقبل سلسلة "123"، فقد يتسبب ذلك في أخطاء. أو إذا قمت بحفظ URL دون تحقق، يمكن للمهاجم إدراج javascript:alert(1).