Дані, введені користувачем

Найбільш небезпечні вразливості у багатьох PHP-скриптах виникають не стільки через саму мову, скільки через код, написаний без урахування відповідних вимог безпеки. Як наслідок, ви завжди повинні виділяти час на дослідження ділянки коду, що розробляється, щоб оцінити потенційну загрозу від введення змінної з нестандартним значенням.

Приклад #1 Потенційно небезпечне використання змінних

Loading...
▶

Ви повинні ретельно перевіряти ваш код і бути абсолютно впевнені в тому, що всі дані, що надсилаються веб-браузером, перевіряються належним чином. Спробуйте відповісти собі на такі вопросы:

• Чи впливатиме цей скрипт виключно на передбачувані дані?
• Чи можуть бути оброблені некоректні чи нестандартні дані?
• Чи можливе використання скрипту непередбаченим способом?
• Чи можливе його використання у поєднанні з іншими скриптами в негативних цілях?
• Чи буде кожна транзакція коректно логована?

Відповівши на ці запитання під час написання скрипта, а не після, ви, можливо, запобігте подальшому доробку скрипту з метою підвищення його безпеки. Починаючи з цих питань, ви не гарантуєте повну безпеку вашої системи, але зможете значно підвищити її.

Ви також можете розглянути відключення таких конфігураційних опцій, як register_globals, magic_quotes та деяких інших, які можуть призводити до сумнівів щодо походження чи значення одержуваних змінних. Використання під час написання PHP-коду режиму error_reporting(E_ALL) може допомогти попередити вас про використання змінних до ініціалізації або перевірки (що запобігатиме роботі з даними, відмінними від очікуваних).