PHP iebūvētās drošības funkcijas

Īsi: PHP biežākajiem drošības uzdevumiem piedāvā gatavas, pārbaudītas funkcijas: password_hash() parolēm, random_bytes() un random_int() tokeniem, htmlspecialchars() pret Cross-Site Scripting, sagatavotus vaicājumus ar PDO pret SQL injekciju, hash_equals() drošai salīdzināšanai un Sodium paplašinājumu kriptogrāfijai. Kas šos pamatelementus konsekventi lieto, izvairās no lielākās daļas lietojumprogrammu ievainojamību. Pret kļūdām pašā PHP interpretatorā, kā PHP2Shell gadījumā, tie nepalīdz; tur palīdz tikai atjauninājums.

Kāpēc iebūvētas PHP drošības funkcijas?

Drošības kodu rakstīt pašam ir kļūdaini. Pašrakstīta paroles jaucējfunkcija, paša būvēts tokenu ģenerators vai paša sakārtots HTML izvades filtrs bieži izskatās pareizi, bet tāds nav. Iebūvētās funkcijas ir dokumentētas, pārbaudītas un tiek uzturētas ar PHP atjauninājumiem.

Lēmumu pieņēmējiem tas nozīmē: jautājiet savai aģentūrai vai izstrādes komandai nevis, vai drošības funkcijas ir būvētas pašu spēkiem, bet gan vai tiek lietotas valodas standarta funkcijas. Tabula sniedz pārskatu.

Paroles un tokeni

password_hash() izveido sālītu jaucējkodu, password_verify() to pārbauda. Ar PASSWORD_DEFAULT PHP pašlaik izmanto bcrypt; kopš PHP 8.4 noklusējuma izmaksu faktors saskaņā ar rokasgrāmatu ir 12, nevis 10. Tā kā noklusējuma algoritms var mainīties, rokasgrāmata iesaka datubāzes kolonnu ar 255 rakstzīmēm. Bcrypt gadījumā paroles tiek nogrieztas pēc 72 baitiem, kas jāņem vērā ļoti garām paroles frāzēm.

<?php
// Reģistrācija
$hash = password_hash($passwort, PASSWORD_DEFAULT);

// Pieteikšanās, ieskaitot veco jaucējkodu automātisku uzlabošanu
if (password_verify($eingabe, $hash)) {
    if (password_needs_rehash($hash, PASSWORD_DEFAULT)) {
        $hash = password_hash($eingabe, PASSWORD_DEFAULT); // saglabāt no jauna
    }
}

// Tokens saitei paroles atiestatīšanai
$token = bin2hex(random_bytes(32));

Noslēpumu salīdzināšanai, piemēram, paraksta, jālieto hash_equals(). Parasts salīdzinājums ar === saskaņā ar rokasgrāmatu pēc izpildes laika var atklāt, no kuras vietas divas vērtības atšķiras. Plašāk: Paroļu droša glabāšana PHP un droši nejauši skaitļi un tokeni.

Izvades maskēšana un droši datubāzes vaicājumi

Cross-Site Scripting rodas, kad lietotāja ievade nefiltrēta nonāk HTML. htmlspecialchars() speciālās rakstzīmes pārvērš HTML entītijās. Kopš PHP 8.1 noklusējuma karodziņi ir ENT_QUOTES | ENT_SUBSTITUTE | ENT_HTML401; agrāk vienpēdiņas netika pārveidotas. Kam jāatbalsta vecākas versijas, tas karodziņus norāda skaidri.

SQL injekciju novērš sagatavoti vaicājumi. Vērtības tiek pārraidītas atsevišķi no SQL teksta un vaicājumu mainīt nevar:

<?php
$stmt = $pdo->prepare('SELECT id, name FROM kunden WHERE email = :email');
$stmt->execute(['email' => $email]);
$kunde = $stmt->fetch();

echo htmlspecialchars($kunde['name'] ?? '', ENT_QUOTES, 'UTF-8');

Detaļas ir sadaļā Cross-Site Scripting novēršana PHP un SQL injekcijas lapā.

Ievades pārbaude ir otrs, atsevišķs solis. filter_var() nosaka, vai vērtībai ir derīgs formāts, piemēram, e-pasta adrese vai vesels skaitlis atļautā diapazonā. Taču tas neaizstāj maskēšanu izvadē un sagatavotu vaicājumu, jo arī formāli derīgas vērtības var saturēt speciālās rakstzīmes.

Noslēpumu turēšana prom no kļūdu ziņojumiem

Par maz novērtēta datu noplūde ir steka izsekojumi. Ja funkcijā rodas kļūda, PHP reģistrē izsaukumu ķēdi kopā ar argumentiem. Ja tajā ir parole vai API atslēga, tā nonāk žurnālā. Kopš PHP 8.2 atribūts #[\SensitiveParameter] šādus parametrus atzīmē; to vērtība izsekojumā tad parādās tikai kā objekts SensitiveParameterValue.

<?php
function anmelden(string $benutzer, #[\SensitiveParameter] string $passwort): bool
{
    // ... pārbaude ...
    throw new RuntimeException('Datenbank nicht erreichbar');
}

Saskaņā ar norādi rokasgrāmatā atribūts darbojas tikai konkrētajā implementācijā, nevis interfeisa metodē. Tāpēc iestatiet to tur, kur kods patiešām darbojas.

Sesijas: droši iestatījumi un jauni noklusējumi

Sesijas ir bieži uzbrukuma mērķis. Trīs iestatījumi ir centrāli: session.use_strict_mode=1 noraida sesiju ID, ko serveris pats nav izveidojis; session.cookie_httponly=1 neļauj ar JavaScript piekļūt sesijas sīkdatnei; session.cookie_samesite=Lax apgrūtina nosūtīšanu līdzi no svešām lapām. Saskaņā ar pieņemto RFC tieši šīs trīs vērtības ar PHP 8.6 kļūs par noklusējumu. Līdz tam iestatiet tās pats, un arī pēc tam skaidri, lai konfigurācija nebūtu atkarīga no noklusējuma.

session.use_strict_mode = 1
session.cookie_httponly = 1
session.cookie_samesite = Lax
session.cookie_secure = 1

Vairāk sadaļā Sesiju nodrošināšana PHP.

Ko iebūvētās funkcijas nedara

PHP projekts savā drošības politikā ir skaidrs: PHP nav smilškaste (sandbox). open_basedir vai disable_functions apiešana, ļaunprātīga ievade unserialize() un nepārbaudīti argumenti funkcijām, piemēram, mysqli_query(), netiek uzskatīti par PHP drošības ievainojamībām. Operatoriem tas nozīmē: šie iestatījumi ir noderīga nostiprināšana, bet nav drošības robeža, un unserialize() ar svešiem datiem nav jālieto.

Otrs punkts attiecas uz PHP2Shell. CVE-2026-109618 un CVE-2026-109619 saskaņā ar php.net ļauj izpildīt kodu, pirms vai kamēr darbojas jūsu lietojumprogramma; mod_php gadījumā exploit tika demonstrēts, pirms vispār tiek izpildīts lietojumprogrammas kods. Neviena funkcija jūsu kodā to nevar apturēt. Droša programmēšana un aktuāla PHP versija ir divi atsevišķi pienākumi, un jāizpilda abi.

Kā PHP SOS palīdz konkrēti?

PHP lietojumprogrammu drošības auditā mēs mērķtiecīgi pārbaudām:

• Paroļu un tokenu apstrāde: vai tiek lietoti password_hash() un random_bytes(), vai ir pašbūvēti risinājumi?
• Izvades un vaicājumi: kur ievade nefiltrēta nonāk HTML, SQL vai shell komandās?
• Sesiju konfigurācija: vai Strict Mode, HttpOnly, SameSite un Secure ir iestatīti un nav pārrakstāmi?
• Izpildes vide: vai darbojas atbalstīta PHP versija ar labojumiem no 21.10.2026?

Biežāk uzdotie jautājumi

Avoti

• PHP rokasgrāmata: password_hash()
• PHP rokasgrāmata: random_bytes()
• PHP rokasgrāmata: hash_equals()
• PHP RFC: Secure Session Configuration Defaults
• OWASP Cheat Sheet Series