معتبرسازی و تغییر ورودی کاربر در PHP

در برنامه‌نویسی وب، معتبرسازی و تغییر ورودی‌های کاربر (User Input Validation and Sanitization) از اهمیت بالایی برخوردار است. ورودی‌های کاربر می‌توانند حاوی داده‌های نامعتبر یا مخرب باشند که اگر به درستی پردازش نشوند، ممکن است باعث مشکلات امنیتی مانند SQL Injection یا Cross-site Scripting (XSS) شوند. در این مقاله، روش‌های معتبرسازی و تغییر ورودی‌های کاربر در PHP به همراه مثال‌های کاربردی آورده شده است.

فهرست مطالب

1. مقدمه‌ای بر معتبرسازی و تغییر ورودی کاربر
2. معتبرسازی ورودی کاربر

• استفاده از توابع PHP برای معتبرسازی
• مثال‌های معتبرسازی ایمیل، URL و عدد صحیح

1. تغییر ورودی کاربر

• استفاده از توابع PHP برای تغییر داده‌ها

1. تفاوت بین معتبرسازی و تغییر
2. روش‌های امن‌تر برای پردازش ورودی‌ها
3. جمع‌بندی
4. لینک‌های پیشنهادی

1. مقدمه‌ای بر معتبرسازی و تغییر ورودی کاربر

ورودی‌های کاربر داده‌هایی هستند که از طریق فرم‌ها یا درخواست‌های HTTP (مثل GET یا POST) به سرور ارسال می‌شوند. معتبرسازی به این معناست که ورودی‌ها را از نظر نوع و قالب بررسی می‌کنیم تا مطمئن شویم که داده‌های دریافتی با آنچه که انتظار داریم تطابق دارند. تغییر ورودی به معنای حذف یا تغییر داده‌های نامطلوب قبل از استفاده در برنامه است.

2. معتبرسازی ورودی کاربر

معتبرسازی ورودی کمک می‌کند تا اطمینان حاصل کنیم که داده‌های ورودی از نوع صحیح هستند و با نیازهای برنامه هم‌خوانی دارند. در PHP می‌توان از توابع مختلف برای این منظور استفاده کرد.

استفاده از توابع PHP برای معتبرسازی

PHP توابع مختلفی برای معتبرسازی داده‌ها دارد که مهم‌ترین آنها عبارتند از:

• filter_var(): این تابع برای معتبرسازی داده‌های ورودی و تطبیق آنها با الگوهای خاص استفاده می‌شود. مثال معتبرسازی ایمیل:

  $email = "user@example.com";
  if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
      echo "ایمیل معتبر است.";
  } else {
      echo "ایمیل معتبر نیست.";
  }

• is_numeric(): برای بررسی این که آیا یک ورودی عددی است یا خیر. مثال معتبرسازی عدد:

  $number = "12345";
  if (is_numeric($number)) {
      echo "عدد معتبر است.";
  } else {
      echo "عدد معتبر نیست.";
  }

مثال‌های معتبرسازی ایمیل، URL و عدد صحیح

معتبرسازی URL با filter_var():

$url = "https://www.itvisit.ir";
if (filter_var($url, FILTER_VALIDATE_URL)) {
    echo "آدرس URL معتبر است.";
} else {
    echo "آدرس URL معتبر نیست.";
}

معتبرسازی عدد صحیح:

$number = "100";
if (filter_var($number, FILTER_VALIDATE_INT)) {
    echo "عدد صحیح است.";
} else {
    echo "عدد صحیح نیست.";
}

3. تغییر ورودی کاربر

تغییر ورودی به معنای پاک‌سازی داده‌ها از ورودی‌های مخرب است که ممکن است باعث آسیب‌دیدن برنامه یا اطلاعات کاربر شوند. مهم‌ترین نوع تغییر، جلوگیری از حملات Cross-site Scripting (XSS) است.

استفاده از توابع PHP برای تغییر داده‌ها

• htmlspecialchars(): این تابع برای جلوگیری از XSS به کار می‌رود و تمامی کاراکترهای HTML را به موجودیت‌های HTML تبدیل می‌کند. مثال استفاده از htmlspecialchars():

  $input = "<script>alert('XSS');</script>";
  $safe_input = htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
  echo $safe_input;  // خروجی: &lt;script&gt;alert(&#039;XSS&#039;);&lt;/script&gt;

• filter_var() برای پاک‌سازی داده‌ها:
  می‌توان از فیلترهای FILTER_SANITIZE_* برای پاک‌سازی ورودی‌ها استفاده کرد. مثال استفاده از FILTER_SANITIZE_STRING:

  $input = "<h1>سلام!</h1>";
  $clean_input = filter_var($input, FILTER_SANITIZE_STRING);
  echo $clean_input;  // خروجی: سلام!

4. تفاوت بین معتبرسازی و تغییر

• معتبرسازی به معنای بررسی صحت و درستی داده‌ها است.
• تغییر به معنای اصلاح و پاک‌سازی داده‌ها به منظور از بین بردن خطرات امنیتی است.

معتبرسازی برای اطمینان از اینکه داده‌ها به شکل صحیح و مورد انتظار ارسال شده‌اند، ضروری است. در حالی که تغییر ورودی برای جلوگیری از خطرات امنیتی مانند XSS یا SQL Injection اهمیت دارد.

5. روش‌های امن‌تر برای پردازش ورودی‌ها

• همیشه از توابع معتبرسازی و تغییر (مثل filter_var() و htmlspecialchars()) برای ورودی‌ها استفاده کنید.
• داده‌های ورودی را از نظر اندازه و نوع محدود کنید.
• استفاده از PDO یا MySQLi برای جلوگیری از SQL Injection در تعاملات با پایگاه داده.
• استفاده از tokenهای CSRF برای جلوگیری از حملات Cross-Site Request Forgery.

6. جمع‌بندی

معتبرسازی و تغییر ورودی کاربر دو جنبه کلیدی از امنیت برنامه‌های وب هستند. معتبرسازی داده‌ها به اطمینان از صحت و تطابق ورودی‌ها با نیازهای برنامه کمک می‌کند، در حالی که تغییر ورودی‌ها برای جلوگیری از آسیب‌های احتمالی مانند حملات XSS و SQL Injection ضروری است. استفاده از توابع PHP مانند filter_var() و htmlspecialchars() می‌تواند در بهبود امنیت برنامه‌های وب شما مؤثر باشد.

7. لینک‌های پیشنهادی

• PHP filter_var() Function
• PHP htmlspecialchars() Function
• PHP PDO – Database Access