Validando e protegendo entradas de formulário

Bem-vindo à próxima lição! Nesta lição, você aprenderá a validar e proteger as entradas dos usuários para garantir que seus formulários estejam corretos e protegidos contra ataques maliciosos. Vamos começar!

Por que validar e proteger as entradas?

A validação e a proteção das entradas de formulário são fundamentais para:

• Garantir a precisão e a usabilidade dos dados.
• Proteger contra ameaças à segurança, como injeção de SQL e ataques de XSS.

Ponto-chave: Sempre valide e higienize as entradas dos usuários antes de processá-las ou armazená-las.

Validando entradas

Use as funções integradas do PHP para validar entradas comuns:

• filter_var(): Valida e-mails, URLs e números inteiros.
• preg_match(): Valida entradas com base em expressões regulares.

Exemplo: Validando um endereço de e-mail:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $email = $_POST["email"];
    if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
      echo "Valid email: $email";
    } else {
      echo "Invalid email address.";
    }
  }
?>

Higienizando entradas

Higienize as entradas para remover caracteres indesejados ou código nocivo. Exemplo:

Dica: Use filter_var() com filtros apropriados para diferentes tipos de dados.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $name = filter_var($_POST["name"], FILTER_SANITIZE_STRING);
    echo "Sanitized Name: $name";
  }
?>

Prevenindo scripts entre sites (XSS)

Converta caracteres especiais para evitar ataques de XSS. Use:

• htmlspecialchars(): Converte caracteres especiais em entidades HTML.

Exemplo:

Dica: Sempre converta as entradas dos usuários antes de exibi-las no navegador.

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $comment = htmlspecialchars($_POST["comment"]);
    echo "Comment: $comment";
  }
?>

Prevenindo a injeção de SQL

A injeção de SQL ocorre quando código malicioso é inserido nas suas consultas SQL. Use instruções preparadas para evitá-la. Exemplo:

Ponto-chave: Sempre use instruções preparadas para interagir com o banco de dados.

<?php
  $pdo = new PDO("mysql:host=localhost;dbname=testdb", "root", "");
  $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
  $stmt->execute(["username" => $_POST["username"]]);
  $user = $stmt->fetch();
?>

Padrões comuns de validação

Aqui estão alguns padrões comuns:

• Validando um número de telefone: preg_match('/^\d{10}$/', $phone)
• Validando uma senha: verifique o comprimento e a complexidade.

Exemplo: Validando uma senha forte:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $password = $_POST["password"];
    if (strlen($password) >= 8 && preg_match('/[A-Z]/', $password)) {
      echo "Strong password!";
    } else {
      echo "Password must be at least 8 characters long and include an uppercase letter.";
    }
  }
?>

Protegendo envios de arquivos

Para formulários que processam envios de arquivos:

• Verifique o tipo e o tamanho do arquivo.
• Armazene os arquivos em um diretório seguro fora da raiz da web.

Exemplo:

<?php
  if ($_FILES["file"]["size"] < 500000 && in_array($_FILES["file"]["type"], ["image/jpeg", "image/png"])) {
    move_uploaded_file($_FILES["file"]["tmp_name"], "/secure/location/" . $_FILES["file"]["name"]);
    echo "File uploaded successfully!";
  } else {
    echo "Invalid file.";
  }
?>

Bom trabalho!

Parabéns! Você aprendeu a validar e proteger as entradas de formulário para garantir que suas aplicações web sejam seguras e confiáveis. Na próxima lição, vamos explorar como processar envios de arquivos em PHP. Continue programando!