Formulareingaben validieren und absichern

Willkommen zur nächsten Lektion! In dieser Lektion lernen Sie, wie Sie Benutzereingaben validieren und absichern, damit Ihre Formulare korrekte Daten verarbeiten und vor böswilligen Angriffen geschützt sind. Legen wir los!

Warum Eingaben validieren und absichern?

Das Validieren und Absichern von Formulareingaben ist entscheidend, um:

• Datenkorrektheit und Benutzerfreundlichkeit sicherzustellen.
• vor Sicherheitsbedrohungen wie SQL-Injection- und XSS-Angriffen zu schützen.

Wichtiger Hinweis: Validieren und bereinigen Sie Benutzereingaben immer, bevor Sie sie verarbeiten oder speichern.

Eingaben validieren

Verwenden Sie die integrierten PHP-Funktionen, um häufige Eingaben zu validieren:

• filter_var(): Validiert E-Mail-Adressen, URLs und Ganzzahlen.
• preg_match(): Validiert Eingaben anhand regulärer Ausdrücke.

Beispiel: Eine E-Mail-Adresse validieren:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $email = $_POST["email"];
    if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
      echo "Valid email: $email";
    } else {
      echo "Invalid email address.";
    }
  }
?>

Eingaben bereinigen

Bereinigen Sie Eingaben, um unerwünschte Zeichen oder schädlichen Code zu entfernen. Beispiel:

Tipp: Verwenden Sie filter_var() mit geeigneten Filtern für unterschiedliche Datentypen.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $name = filter_var($_POST["name"], FILTER_SANITIZE_STRING);
    echo "Sanitized Name: $name";
  }
?>

Cross-Site-Scripting (XSS) verhindern

Maskieren Sie Sonderzeichen, um XSS-Angriffe zu verhindern. Verwenden Sie:

• htmlspecialchars(): Wandelt Sonderzeichen in HTML-Entitäten um.

Beispiel:

Tipp: Maskieren Sie Benutzereingaben immer, bevor Sie sie im Browser anzeigen.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $comment = htmlspecialchars($_POST["comment"]);
    echo "Comment: $comment";
  }
?>

SQL-Injection verhindern

SQL-Injection tritt auf, wenn schädlicher Code in Ihre SQL-Abfragen eingefügt wird. Verwenden Sie vorbereitete Anweisungen, um dies zu verhindern. Beispiel:

Wichtiger Hinweis: Verwenden Sie für Interaktionen mit Datenbanken immer vorbereitete Anweisungen.

<?php
  $pdo = new PDO("mysql:host=localhost;dbname=testdb", "root", "");
  $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
  $stmt->execute(["username" => $_POST["username"]]);
  $user = $stmt->fetch();
?>

Gängige Validierungsmuster

Hier sind einige gängige Muster:

• Eine Telefonnummer validieren: preg_match('/^\d{10}$/', $phone)
• Ein Passwort validieren: Länge und Komplexität prüfen.

Beispiel: Ein starkes Passwort validieren:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $password = $_POST["password"];
    if (strlen($password) >= 8 && preg_match('/[A-Z]/', $password)) {
      echo "Strong password!";
    } else {
      echo "Password must be at least 8 characters long and include an uppercase letter.";
    }
  }
?>

Datei-Uploads absichern

Für Formulare, die Datei-Uploads verarbeiten:

• Überprüfen Sie Dateityp und -größe.
• Speichern Sie Dateien in einem sicheren Verzeichnis außerhalb des Web-Roots.

Beispiel:

<?php
  if ($_FILES["file"]["size"] < 500000 && in_array($_FILES["file"]["type"], ["image/jpeg", "image/png"])) {
    move_uploaded_file($_FILES["file"]["tmp_name"], "/secure/location/" . $_FILES["file"]["name"]);
    echo "File uploaded successfully!";
  } else {
    echo "Invalid file.";
  }
?>

Gute Arbeit!

Herzlichen Glückwunsch! Sie haben gelernt, wie Sie Formulareingaben validieren und absichern, damit Ihre Webanwendungen sicher und zuverlässig sind. In der nächsten Lektion beschäftigen wir uns mit der Verarbeitung von Datei-Uploads in PHP. Programmieren wir weiter!