PHP सुरक्षा: SQL इंजेक्शन और XSS से अपनी साइट को कैसे बचाएं

शुरुआती लोगों के लिए ऑनलाइन Python प्रशिक्षक

Python आसानी से सीखें बिना सिद्धांत के बोझ के। स्वचालित जांच के साथ व्यावहारिक कार्य हल करें और ब्राउज़र में सीधे कोड लिखें।

पाठ्यक्रम शुरू करें

आपकी PHP साइट निशाने पर: क्यों हैकर्स कमजोर सुरक्षा पसंद करते हैं

\n\n

कल्पना करें: आपने PHP में एक शानदार ब्लॉग या ऑनलाइन स्टोर विकसित करने में हफ्तों बिताए। साइट काम कर रही है, विज़िटर खुश हैं। लेकिन एक "सुंदर" दिन आप एडमिन पैनल में जाते हैं, और वहाँ—खालीपन है। डेटाबेस हटा दिया गया है। या, इससे भी बदतर, होम पेज पर कैसीनो का विज्ञापन दिख रहा है, और सभी उपयोगकर्ता फिशिंग साइट पर रीडायरेक्ट हो रहे हैं।

\n\n

परिचित कहानी? दुर्भाग्य से, कई शुरुआती (और केवल उन्हीं के लिए नहीं) PHP डेवलपर्स के लिए यह वास्तविकता है। सबसे बुरी बात यह है कि ऐसे 90% हमले दो साधारण कमजोरियों के कारण होते हैं: SQL इंजेक्शन और क्रॉस-साइट स्क्रिप्टिंग (XSS)। हैकर्स जटिल एन्क्रिप्शन एल्गोरिदम नहीं तोड़ते—वे बस प्रोग्रामर की लापरवाही का फायदा उठाते हैं।

\n\n

इस लेख में हम उबाऊ व्याख्यान नहीं पढ़ेंगे। हम समझेंगे कि ये हमले "अंदर से" कैसे काम करते हैं, और सबसे महत्वपूर्ण बात, मजबूत अवरोध लगाना सीखेंगे। आप जानेंगे कि अपने PHP कोड को हमलावरों के लिए कठिन लक्ष्य कैसे बनाएं। चलिए शुरू करते हैं!

\n\n

SQL इंजेक्शन: जब डेटाबेस हैकर की आवाज़ में बोलता है

\n\n

SQL इंजेक्शन (SQL injection) एक प्रकार का हमला है जिसमें हमलावर डेटाबेस क्वेरी में दुर्भावनापूर्ण SQL कोड "इंजेक्ट" करता है। यदि आपका एप्लिकेशन इनपुट डेटा को फ़िल्टर नहीं करता है, तो हैकर डेटाबेस को कोई भी कमांड निष्पादित करने के लिए मजबूर कर सकता है: पासवर्ड चुराने से लेकर टेबल को पूरी तरह हटाने तक।

\n\n

कमजोर कोड कैसा दिखता है?

\n\n

एक सरल लॉगिन फॉर्म की कल्पना करें। शुरुआती का कोड अक्सर इस तरह दिखता है:

\n\n

<?php\n$login = $_POST['login'];\n$password = $_POST['password'];\n\n// खतरनाक! क्वेरी में सीधा प्रतिस्थापन\n$query = "SELECT * FROM users WHERE login = '$login' AND password = '$password'";\n$result = mysqli_query($link, $query);\n?>

\n\n

सब कुछ तार्किक लगता है। लेकिन क्या होगा यदि हमलावर लॉगिन फ़ील्ड में यह स्ट्रिंग दर्ज करे:

\n\n

' OR '1'='1

\n\n

क्वेरी बन जाएगी:

\n\n

SELECT * FROM users WHERE login = '' OR '1'='1' AND password = '...'

\n\n

शर्त '1'='1' हमेशा सत्य होती है। बधाई हो, हैकर ने बिना पासवर्ड के सिस्टम में प्रवेश कर लिया! और यदि वह '; DROP TABLE users; -- दर्ज करता है, तो आपकी उपयोगकर्ता तालिका हमेशा के लिए गायब हो जाएगी।

\n\n

एस्केपिंग बनाम तैयार क्वेरी: क्या चुनें?

\n\n

कई पुरानी पाठ्यपुस्तकें mysqli_real_escape_string() फ़ंक्शन का उपयोग करने की सलाह देती हैं। हाँ, यह विशेष वर्णों को एस्केप करता है, लेकिन यह पुरानी तकनीक है। इस विधि में कमियाँ हैं:

\n\n

प्रत्येक वेरिएबल पर फ़ंक्शन लागू करना भूलना आसान है।
सभी प्रकार के इंजेक्शन से रक्षा नहीं करता (उदाहरण के लिए, LIKE के साथ काम करते समय)।
कोड गंदा और रखरखाव में कठिन हो जाता है।

\n\n

आधुनिक और सही तरीका है तैयार क्वेरी (prepared statements) PDO या MySQLi के माध्यम से। ये क्वेरी लॉजिक और डेटा को अलग करते हैं। डेटाबेस पहले क्वेरी टेम्पलेट को "कंपाइल" करता है, फिर उसमें डेटा डालता है। भले ही हैकर दुर्भावनापूर्ण कोड भेजे, इसे SQL कमांड के हिस्से के रूप में नहीं, बल्कि एक सामान्य स्ट्रिंग के रूप में माना जाएगा।

\n\n

PDO के साथ सुरक्षित कोड लिखें

\n\n

यहाँ PDO (PHP Data Objects) का उपयोग करके डेटाबेस के लिए सुरक्षित क्वेरी कैसी दिखनी चाहिए:

\n\n

<?php\n// डेटाबेस से कनेक्शन\n$dsn = 'mysql:host=localhost;dbname=mydb;charset=utf8mb4';\n$pdo = new PDO($dsn, 'user', 'password');\n\n// त्रुटि मोड सेट करना (डिबगिंग के लिए महत्वपूर्ण, लेकिन प्रोडक्शन में हटा दें)\n$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);\n\n// क्वेरी तैयार करना (टेम्पलेट)\n$stmt = $pdo->prepare("SELECT * FROM users WHERE login = :login AND password = :password");\n\n// पैरामीटर बाइंड करना और निष्पादित करना\n$stmt->execute([\n    ':login' => $_POST['login'],\n    ':password' => $_POST['password']\n]);\n\n$user = $stmt->fetch();\n\nif ($user) {\n    echo "स्वागत है!";\n} else {\n    echo "गलत लॉगिन या पासवर्ड";\n}\n?>

\n\n