Konuyu Açan
#1
Giriş
Birçok PHP uygulamasında kullanıcıdan gelen POST verileriyle çalışıyoruz. Ancak bu verileri doğrudan SQL sorgularında kullanmak, insektlerle dolu bir bahçe gibi güvenlik açıklarına davetiye çıkarır. Bu nedenle sorgu güvenliği konusunda net bir yaklaşım belirlemek gerekiyor. Aşağıda, pratik ve uygulanabilir bir çerçeve sunuyorum ki hem güvenliği artırır, hem de kodun sürdürülebilirliğini korur.
1) Hazır Sorgular ve Parametre Bağlama (Prepared Statements)
En güvenli yol, verileri sorgulara doğrudan eklemek yerine prepared statements kullanmaktır. PDO veya MySQLi ile şu temel yaklaşım uygulanır:
- Sorguyu hazırlayın: $stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email AND status = :status");
- Girişleri bağlayın: $stmt->bindParam(':email', $email, PDO::PARAM_STR); $stmt->bindParam(':status', $status, PDO::PARAM_INT);
- Çalıştırın: $stmt->execute();
- Sonuçları alın: $rows = $stmt->fetchAll(PDO::FETCH_ASSOC);
Neden önemli? Veriler çevresel olarak ayrıştırılır, SQL enjeksiyon riskini büyük ölçüde azaltır ve hata ayıklamayı tek tip bir yol üzerinden yapmanıza olanak tanır.
Notlar
- Hazır ifadeler sadece SELECT ile sınırlı değildir; INSERT, UPDATE, DELETE için de aynen uygulanır.
- Parametre bağlama türünü hedeflenen veri tipine göre seçin (STRING, INT, DATE vb.).
2) Girdi Doğrulama ve Standartlaştırma
POST verilerini kullanmadan önce:
- Gerekli alanları kontrol edin ( ör: username, password, token gibi ).
- Beklenen formatları doğrulayın: e-posta için basit regex veya filter_var, sayı alanları için intval ile sınırlandırma.
- Verileri normalleştirin: trim, stripslashes yerine modern PHP sürümünde sadece trim ve proper escaping yeterli olabilir.
Neden önemli? Doğrulama, sadece güvenlik için değil, kullanıcı deneyimi ve veritabanı bütünlüğü için de temel.
3) Esneklik ve Güvenlik Dengesi
Sistemler ölçeklendikçe güvenlik politikalarına ihtiyaç artar:
- Kullanıcı girdisini en erken aşamada doğrudan temizlemek yerine bağlamına göre temizleme.
- Hata mesajlarını sakince tutun; kullanıcıya yalnızca genel bir mesaj gösterin.
- Güvenlik güncellemelerini takip edin: PHP sürümü, veritabanı sürücülerinin güncellemeleri.
4) Test ve Deneyimler
En güvenli uygulama, güvenlik açıklarını tasarlanan akışlardan ayırmaktır. Sizin en sık karşılaştığınız güvenlik riskleri nelerdir? Hangi yöntemlerle POST verisini güvenli tutuyorsunuz? Kod örnekleri veya karşılaştığınız bir sorun varsa paylaşır mısınız?
