PHP de güvenlik ipuçları - PHP Webmaster bilgi bankası, knowledge base Webmaster Araçları
AnaSayfa > PHP > PHP de güvenlik ipuçları
Tarih : 2009-08-25
Puan : 8 | Katılımcı : 4
Okunma : 3700
Php kodlamada güvenlik
Arkadaşlar bir sitede PHP de alınması gereken güvenlik önlemleri ile ilgili bir makale okudum ve burada sizlerle paylaşmak istedim.
Basit PHP Güvenliği:
PHP script’lerinizin güvenli olduğundan emin olmanız için ilk olarak temel kuralları yerine getirmeniz gerekiyor: kullanıcı girdilerinin (input) filtrelenmesi ve çıktıların (output) kontrolü. Eğer bu ikisini doğru olarak yapmıyorsanız script’leriniz her zaman güvenlik problemleri ile karşı karşıya olacaktır. Bu makale’de bu iki işlem ile ilgili yapılması gerekenler anlatılıyor.
Bütün Girileri Filtreleyin:
Script’leriniz harici bir kaynaktan girdi okuduğunda, bu verinin tehlikeli olduğu varsayılmalı ve güvenilmemelidir. Güvenilmemesi gereken değişkenlerden bazıları: $_POST, $_GET, $_REQUEST ve hatta pek mümkün görünmese de önemli veriler içerebilecek olan $_SERVER .
Tehlikeli bir değişkenden gelen veriyi işlemlere tabi tutmadan önce ilk olarak önce onaylanamanız ve filtrelemeniz gerekmektedir. Onaylama işlemi ile sadece sizin istediğiniz verileri içerdiğinden emin olabilirsiniz. Örneğin bir eposta adresi bilgisi bekliyorsanız, onay fonksiyon’unuz girilen verinin doğru bir eposta adresi olup olmadığını kontrol etmeli.
$eposta = $_POST['eposta']; # Burada veri hala TEHLİKELİ durumda
die(‘Geçerli bir eposta adresi değil!’);
Veriyi kontrol ederek script’imize tehlikeli verilerin eklenmesi riski büyük ölçüde azaltılmış oldu. valid_eposta() fonksiyon’u PHPit Code Snippet veritabanında da bulunabilecek olan standart bir onay işlemidir.
Verimiz daha güvenli olsa da işimiz daha bitmedi çünkü hala veriyi MySQL veritabanına yerleştirmek istiyoruz ve bu işlemden önce de bazı kontroller yapmamız gerekiyor. PHP tüm önemli karakterlerin escape edildiği mysql_real_escape_string() standart fonksiyon’unu sunar. Diğer bir yöntem ise SQL sorgusunda veriyi her zaman kesme imleri arasına yerleştirin.
// eposta’nın veritabanı için güvenli hale getirilmesi
$t_eposta = $_POST['eposta']; # Tehlikeli
echo htmlentities($_GET['eposta'], ENT_QUOTES, ‘UTF-8′);
Diğer bir yöntem de sadece sizin istediklerinizi filtrelemenize yarayacak kendi fonksiyon’unuzu yazmanız (veya internet’teki yüzlerce hazır fonksiyon’dan birini kullanmanız). Bu bazen en iyi yöntem olabilir fakat herhangi bir şeyi unutmanız durumunda güvenlik problemlerine yol açabilir.
Son olarak, çıktıyı filtrelemenin en iyi yolu, üç argümanı ile birlikte htmlentities() fonksiyonunun kullanımı fakat bununda işlevi sınırlı (ör: formatlama olmaması) kalabilir. Buna çözüm olarak verileri format’lamanızda kullanılabilecek olan kendi HTML kodunuzu yaratabilirsiniz. Kendi HTML kodunuzu yaratma ile ilgili olarak Create your own BBCode, using PHP dokümanına göz atabilirsiniz.
Bu makalede PHP programlamının iki temel ilkesi olan girdi filtreleme ve çıktı filtreleme’den bahsettim. Eğer bu ikisini doğru olarak yapabilirseniz çok güvenli bir PHP script’ine doğru yola çıkmışsınız demektir.
Verdiğim örnekler çok basit ve hantal. Escape işlemini otomatikleştirmeniz iyi olabilir. Bunun için iyi bir yöntem gerekli işlemleri yapan bir class veya fonksiyon’lar yazmanız.
Yazan: ufuqz45 (18 Eylül 2011 Pazar) +5
Toplam 1 yorum listelendi.