Convalida e protezione degli input dei moduli

Benvenuto nella prossima lezione! In questa lezione imparerà a convalidare e proteggere gli input degli utenti per assicurarsi che i moduli siano corretti e protetti dagli attacchi dannosi. Iniziamo!

Perché convalidare e proteggere gli input?

La convalida e la protezione degli input dei moduli sono fondamentali per:

• Garantire l'accuratezza e l'utilizzabilità dei dati.
• Proteggere dalle minacce alla sicurezza, come l'SQL injection e gli attacchi XSS.

Punto chiave: Convalidi e sanitizzi sempre gli input degli utenti prima di elaborarli o memorizzarli.

Convalida degli input

Utilizzi le funzioni integrate di PHP per convalidare gli input più comuni:

• filter_var(): convalida indirizzi email, URL e numeri interi.
• preg_match(): convalida gli input in base alle espressioni regolari.

Esempio: convalida di un indirizzo email:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $email = $_POST["email"];
    if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
      echo "Valid email: $email";
    } else {
      echo "Invalid email address.";
    }
  }
?>

Sanitizzazione degli input

Sanitizzi gli input per rimuovere caratteri indesiderati o codice dannoso. Ecco un esempio:

Suggerimento: Utilizzi filter_var() con filtri appropriati per i diversi tipi di dati.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $name = filter_var($_POST["name"], FILTER_SANITIZE_STRING);
    echo "Sanitized Name: $name";
  }
?>

Prevenzione del Cross-Site Scripting (XSS)

Esegua l'escape dei caratteri speciali per prevenire gli attacchi XSS. Utilizzi:

• htmlspecialchars(): converte i caratteri speciali in entità HTML.

Esempio:

Suggerimento: Esegua sempre l'escape degli input degli utenti prima di visualizzarli nel browser.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $comment = htmlspecialchars($_POST["comment"]);
    echo "Comment: $comment";
  }
?>

Prevenzione dell'iniezione SQL

L'SQL injection si verifica quando viene inserito codice dannoso nelle query SQL. Per prevenirla, utilizzi istruzioni preparate. Ecco un esempio:

Punto chiave: Utilizzi sempre istruzioni preparate per le interazioni con il database.

<?php
  $pdo = new PDO("mysql:host=localhost;dbname=testdb", "root", "");
  $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
  $stmt->execute(["username" => $_POST["username"]]);
  $user = $stmt->fetch();
?>

Pattern di convalida comuni

Ecco alcuni pattern comuni:

• Convalida di un numero di telefono: preg_match('/^\d{10}$/', $phone)
• Convalida di una password: ne verifichi la lunghezza e la complessità.

Esempio: convalida di una password sicura:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $password = $_POST["password"];
    if (strlen($password) >= 8 && preg_match('/[A-Z]/', $password)) {
      echo "Strong password!";
    } else {
      echo "Password must be at least 8 characters long and include an uppercase letter.";
    }
  }
?>

Protezione dei caricamenti di file

Per i moduli che gestiscono il caricamento di file:

• Verifichi il tipo e le dimensioni del file.
• Memorizzi i file in una directory sicura al di fuori della radice web.

Esempio:

<?php
  if ($_FILES["file"]["size"] < 500000 && in_array($_FILES["file"]["type"], ["image/jpeg", "image/png"])) {
    move_uploaded_file($_FILES["file"]["tmp_name"], "/secure/location/" . $_FILES["file"]["name"]);
    echo "File uploaded successfully!";
  } else {
    echo "Invalid file.";
  }
?>

Ottimo lavoro!

Congratulazioni! Ha imparato a convalidare e proteggere gli input dei moduli per garantire che le applicazioni web siano sicure e affidabili. Nella prossima lezione esplorerà la gestione dei caricamenti di file in PHP. Continui a programmare!