Pengesahan Borang

Selamat datang ke pelajaran seterusnya! Dalam pelajaran ini, anda akan mempelajari cara mengesahkan dan melindungi input pengguna bagi memastikan borang anda tepat serta terlindung daripada serangan berniat jahat. Mari mulakan!

Pengesahan dan perlindungan input borang amat penting untuk:

• Memastikan ketepatan dan kebolehgunaan data.
• Melindungi daripada ancaman keselamatan seperti suntikan SQL dan serangan XSS.

Perkara Penting: Sentiasa sahkan dan bersihkan input pengguna sebelum memproses atau menyimpannya.

Gunakan fungsi terbina dalam PHP untuk mengesahkan input biasa:

• filter_var(): Mengesahkan e-mel, URL dan nombor bulat.
• preg_match(): Mengesahkan input berdasarkan ungkapan nalar.

Contoh: Mengesahkan alamat e-mel:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $email = $_POST["email"];
    if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
      echo "Valid email: $email";
    } else {
      echo "Invalid email address.";
    }
  }
?>

Bersihkan input untuk membuang aksara yang tidak dikehendaki atau kod berbahaya. Contoh:

Petua: Gunakan filter_var() dengan penapis yang sesuai untuk jenis data yang berbeza.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $name = filter_var($_POST["name"], FILTER_SANITIZE_STRING);
    echo "Sanitized Name: $name";
  }
?>

Lakukan pelolosan terhadap aksara khas untuk mencegah serangan XSS. Gunakan:

• htmlspecialchars(): Menukarkan aksara khas kepada entiti HTML.

Contoh:

Petua: Sentiasa lakukan pelolosan terhadap input pengguna sebelum memaparkannya dalam pelayar.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $comment = htmlspecialchars($_POST["comment"]);
    echo "Comment: $comment";
  }
?>

Suntikan SQL berlaku apabila kod berniat jahat disisipkan ke dalam pertanyaan SQL anda. Gunakan pernyataan disediakan untuk mencegahnya. Contoh:

Perkara Penting: Sentiasa gunakan pernyataan disediakan untuk interaksi dengan pangkalan data.

<?php
  $pdo = new PDO("mysql:host=localhost;dbname=testdb", "root", "");
  $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
  $stmt->execute(["username" => $_POST["username"]]);
  $user = $stmt->fetch();
?>

Berikut ialah beberapa corak biasa:

• Mengesahkan nombor telefon: preg_match('/^\d{10}$/', $phone)
• Mengesahkan kata laluan: Periksa panjang dan kerumitannya.

Contoh: Mengesahkan kata laluan yang kukuh:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $password = $_POST["password"];
    if (strlen($password) >= 8 && preg_match('/[A-Z]/', $password)) {
      echo "Strong password!";
    } else {
      echo "Password must be at least 8 characters long and include an uppercase letter.";
    }
  }
?>

Untuk borang yang mengendalikan muat naik fail:

• Periksa jenis dan saiz fail.
• Simpan fail dalam direktori selamat di luar akar web.

Contoh:

<?php
  if ($_FILES["file"]["size"] < 500000 && in_array($_FILES["file"]["type"], ["image/jpeg", "image/png"])) {
    move_uploaded_file($_FILES["file"]["tmp_name"], "/secure/location/" . $_FILES["file"]["name"]);
    echo "File uploaded successfully!";
  } else {
    echo "Invalid file.";
  }
?>

Tahniah! Anda telah mempelajari cara mengesahkan dan melindungi input borang bagi memastikan aplikasi web anda selamat dan boleh dipercayai. Dalam pelajaran seterusnya, kita akan meneroka cara mengendalikan muat naik fail dalam PHP. Mari terus menulis kod!