Как правильно очищать пользовательский ввод в PHP от XSS и SQL-инъекций?

Правильный подход к очистке пользовательского ввода в PHP

Привет! Ты столкнулся с двумя разными типами уязвимостей, и их нужно обрабатывать по-разному. Главный принцип безопасности: никогда не доверяй пользовательскому вводу. Но "очистка" — это не одна универсальная функция, а контекстно-зависимые действия.

1. SQL-инъекции (защита при работе с БД)

Твой пример с ' OR '1'='1 — это классическая SQL-инъекция. Злоумышленник может не только сломать запрос, но и удалить таблицы или получить доступ к данным.

Неправильно: использовать mysqli_real_escape_string(). Хотя эта функция экранирует спецсимволы, её легко забыть применить к одному из полей. Кроме того, она не защищает от всех атак (например, при использовании в LIKE-выражениях).

Правильно: использовать подготовленные запросы (prepared statements) через PDO или MySQLi. Они отделяют SQL-код от данных.

// Правильный способ через PDO
$stmt = $pdo->prepare("INSERT INTO comments (name, message) VALUES (:name, :message)");
$stmt->execute([
    'name' => $_POST['name'],
    'message' => $_POST['message']
]);

Или через MySQLi:

$stmt = $conn->prepare("INSERT INTO comments (name, message) VALUES (?, ?)");
$stmt->bind_param("ss", $_POST['name'], $_POST['message']);
$stmt->execute();

Подготовленные запросы автоматически экранируют данные и гарантируют, что ввод никогда не будет интерпретирован как SQL-код.

2. XSS-атаки (защита при выводе на страницу)

Твой пример с <script>alert('hack')</script> — это XSS (межсайтовый скриптинг). Злоумышленник может украсть куки, перенаправить пользователя на фишинговый сайт или изменить содержимое страницы.

Неправильно: использовать strip_tags(). Она вырезает все теги, но если тебе нужно разрешить некоторые (например, <b> или <i>), то эта функция не подойдёт.

Правильно: использовать htmlspecialchars() с правильными параметрами. Она преобразует спецсимволы HTML в их безопасные эквиваленты (< → <, > → > и т.д.).

// Правильный способ вывода
$safe_name = htmlspecialchars($_POST['name'], ENT_QUOTES | ENT_HTML5, 'UTF-8');
$safe_message = htmlspecialchars($_POST['message'], ENT_QUOTES | ENT_HTML5, 'UTF-8');
echo "<p><b>$safe_name</b>: $safe_message</p>";

Важные параметры:

• ENT_QUOTES — экранирует и одинарные, и двойные кавычки
• ENT_HTML5 — использует современные HTML5-сущности
• 'UTF-8' — кодировка (обязательно указывай, иначе возможны проблемы с многобайтовыми символами)

3. Дополнительные рекомендации

• Валидация — проверяй, что ввод соответствует ожидаемому формату (email, число, URL). Используй filter_var() или регулярные выражения.
• Никогда не используй htmlspecialchars() для защиты от SQL-инъекций — это не работает.
• Никогда не используй mysqli_real_escape_string() как единственную защиту — используй подготовленные запросы.
• Content Security Policy (CSP) — настрой HTTP-заголовок, который запрещает выполнение inline-скриптов на странице.

Запомни золотое правило: Фильтруй ввод, экранируй вывод. Для каждого контекста (SQL, HTML, URL, JSON) — свой метод экранирования.

// Валидация email
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
if ($email === false) {
    die('Некорректный email');
}

// Санитация строки (удаление тегов, кодирование спецсимволов)
$name = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING);