Lomakkeiden validointi

Tervetuloa seuraavalle oppitunnille! Tässä oppitunnissa opit validoimaan ja suojaamaan käyttäjän syötteitä varmistaaksesi lomakkeiden tietojen oikeellisuuden ja suojauksen haitallisilta hyökkäyksiltä. Aloitetaan!

Miksi syötteet tulee validoida ja suojata?

Lomakesyötteiden validointi ja suojaaminen on tärkeää, jotta voit:

• Varmistaa tietojen oikeellisuuden ja käytettävyyden.
• Suojautua tietoturvauhkilta, kuten SQL-injektioilta ja XSS-hyökkäyksiltä.

Tärkeä huomio: Validoi ja sanitoi käyttäjän syötteet aina ennen niiden käsittelyä tai tallentamista.

Käytä PHP:n sisäänrakennettuja funktioita yleisten syötteiden validointiin:

• filter_var(): Validoi sähköpostiosoitteita, URL-osoitteita ja kokonaislukuja.
• preg_match(): Validoi syötteitä säännöllisten lausekkeiden avulla.

Esimerkki: sähköpostiosoitteen validointi:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $email = $_POST["email"];
    if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
      echo "Valid email: $email";
    } else {
      echo "Invalid email address.";
    }
  }
?>

Sanitoi syötteet poistaaksesi ei-toivotut merkit tai haitallisen koodin. Esimerkki:

Vinkki: Käytä filter_var()-funktiota ja kullekin tietotyypille sopivia suodattimia.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $name = filter_var($_POST["name"], FILTER_SANITIZE_STRING);
    echo "Sanitized Name: $name";
  }
?>

Escapoi erikoismerkit XSS-hyökkäysten estämiseksi. Käytä:

• htmlspecialchars(): Muuntaa erikoismerkit HTML-entiteeteiksi.

Esimerkki:

Vinkki: Escapoi käyttäjän syötteet aina ennen niiden näyttämistä selaimessa.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $comment = htmlspecialchars($_POST["comment"]);
    echo "Comment: $comment";
  }
?>

SQL-injektio tapahtuu, kun SQL-kyselyihisi lisätään haitallista koodia. Käytä sen estämiseen valmisteltuja lauseita. Esimerkki:

Tärkeä huomio: Käytä tietokannan kanssa aina valmisteltuja lauseita.

<?php
  $pdo = new PDO("mysql:host=localhost;dbname=testdb", "root", "");
  $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
  $stmt->execute(["username" => $_POST["username"]]);
  $user = $stmt->fetch();
?>

Tässä on joitakin yleisiä malleja:

• Puhelinnumeron validointi: preg_match('/^\d{10}$/', $phone)
• Salasanan validointi: Tarkista pituus ja monimutkaisuus.

Esimerkki: vahvan salasanan validointi:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $password = $_POST["password"];
    if (strlen($password) >= 8 && preg_match('/[A-Z]/', $password)) {
      echo "Strong password!";
    } else {
      echo "Password must be at least 8 characters long and include an uppercase letter.";
    }
  }
?>

Kun lomakkeilla käsitellään tiedostojen lataamista:

• Tarkista tiedostotyyppi ja -koko.
• Tallenna tiedostot suojattuun hakemistoon web-juurihakemiston ulkopuolelle.

Esimerkki:

<?php
  if ($_FILES["file"]["size"] < 500000 && in_array($_FILES["file"]["type"], ["image/jpeg", "image/png"])) {
    move_uploaded_file($_FILES["file"]["tmp_name"], "/secure/location/" . $_FILES["file"]["name"]);
    echo "File uploaded successfully!";
  } else {
    echo "Invalid file.";
  }
?>

Onnittelut! Olet oppinut validoimaan ja suojaamaan lomakesyötteitä varmistaaksesi, että verkkosovelluksesi ovat turvallisia ja luotettavia. Seuraavassa oppitunnissa tutustumme tiedostojen lataamisen käsittelyyn PHP:ssä. Jatketaan koodaamista!