PHP GET Parametreleri ve SQL Güvenliği

Konu: PHP'de GET parametrelerini işlerken SQL güvenliği nasıl güçlendirilir? Özellikle parametre temizleme, hazırlıklı ifadeler (prepared statements) ve hata yönetimi konularını tartışalım.

• PDO veya mysqli kullanın ve sorguları hazırlıklı ifadelerle yazın.
• Yer tutucuları kullanarak, kullanıcı girdisini otomatik olarak uygun türe dönüştürür ve SQL enjeksiyon riskini azaltır.
• Tüm GET parametrelerini, beklenen tipte (int, string, date) doğrulayın ve gerekirse filtreleyin.
• Uygun hata yönetimi: kullanıcıya yalnızca genel bir hata mesajı gösterin, ayrıntılı hata içeriğini kaydedin.

• PDO ile basit bir arama sorgusu:

123456
$pdo = new PDO($dsn, $user, $pass, $options);
$term = isset($_GET['q']) ? $_GET['q'] : '';
$stmt = $pdo->prepare('SELECT * FROM products WHERE name LIKE :term');
$stmt->execute([':term' => '%' . $term . '%']);
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

• Sayfalama ve GET ile filtreleme:

12345678910
$page = isset($_GET['page']) ? max(1, (int)$_GET['page']) : 1;
$limit = 20;
$offset = ($page - 1) * $limit;
$stmt = $pdo->prepare('SELECT * FROM orders WHERE status = :status LIMIT :offset, :limit');
$stmt->bindValue(':status', $_GET['status'] ?? 'pending', PDO::PARAM_STR);
$stmt->bindValue(':offset', $offset, PDO::PARAM_INT);
$stmt->bindValue(':limit', $limit, PDO::PARAM_INT);
$stmt->execute();
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);

• Veritabanı kullanıcı hesaplarını en az ayrıcalıkla çalışacak şekilde yapılandırın.
• Girdi doğrulamasını katmanlı olarak uygulayın: URL seviyesinde doğrulama, uygulama seviyesinde doğrulama, veritabanı seviyesinde kurallar.
• Giriş yapan kullanıcıya göre yetkilendirme kontrolleri ekleyin; GET üzerinden gelen parametrelerle yalnızca yetkili alanlara erişimi sınırlandırın.
• Hata loglamayı dikkatli yapın; üretimde ayrıntılı hatayı kullanıcıya göstermeyin.