การตรวจสอบและรักษาความปลอดภัยของข้อมูลที่ป้อนในแบบฟอร์ม

ยินดีต้อนรับสู่บทเรียนถัดไป! ในบทเรียนนี้ คุณจะได้เรียนรู้วิธีตรวจสอบความถูกต้องและรักษาความปลอดภัยของข้อมูลที่ผู้ใช้ป้อน เพื่อให้แน่ใจว่าแบบฟอร์มของคุณถูกต้องและได้รับการปกป้องจากการโจมตีที่เป็นอันตราย มาเริ่มกันเลย!

เหตุใดจึงต้องตรวจสอบและรักษาความปลอดภัยของข้อมูลที่ป้อน

การตรวจสอบความถูกต้องและรักษาความปลอดภัยของข้อมูลที่ป้อนในแบบฟอร์มมีความสำคัญอย่างยิ่งต่อการ:

• รับรองว่าข้อมูลถูกต้องและใช้งานได้
• ป้องกันภัยคุกคามด้านความปลอดภัย เช่น การแทรกคำสั่งเอสคิวแอลและการโจมตีแบบ XSS

ประเด็นสำคัญ: ตรวจสอบความถูกต้องและทำความสะอาดข้อมูลที่ผู้ใช้ป้อนทุกครั้งก่อนประมวลผลหรือจัดเก็บ

การตรวจสอบข้อมูลที่ป้อน

ใช้ฟังก์ชันในตัวของ PHP เพื่อตรวจสอบความถูกต้องของข้อมูลที่ป้อนทั่วไป:

• filter_var(): ตรวจสอบที่อยู่อีเมล ที่อยู่เว็บ และจำนวนเต็ม
• preg_match(): ตรวจสอบข้อมูลที่ป้อนโดยเทียบกับนิพจน์ทั่วไป

ตัวอย่าง: การตรวจสอบที่อยู่อีเมล:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $email = $_POST["email"];
    if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
      echo "Valid email: $email";
    } else {
      echo "Invalid email address.";
    }
  }
?>

การทำความสะอาดข้อมูลที่ป้อน

ทำความสะอาดข้อมูลที่ป้อนเพื่อลบอักขระที่ไม่ต้องการหรือโค้ดที่เป็นอันตราย ตัวอย่าง:

เคล็ดลับ: ใช้ filter_var() พร้อมตัวกรองที่เหมาะสมสำหรับข้อมูลแต่ละประเภท

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $name = filter_var($_POST["name"], FILTER_SANITIZE_STRING);
    echo "Sanitized Name: $name";
  }
?>

การป้องกันการเขียนสคริปต์ข้ามไซต์ (XSS)

แปลงอักขระพิเศษเป็นรูปแบบเอสเคปเพื่อป้องกันการโจมตีแบบ XSS ใช้:

• htmlspecialchars(): แปลงอักขระพิเศษเป็นเอนทิตี HTML

ตัวอย่าง:

เคล็ดลับ: แปลงข้อมูลที่ผู้ใช้ป้อนเป็นรูปแบบเอสเคปทุกครั้งก่อนแสดงข้อมูลเหล่านั้นในเบราว์เซอร์

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $comment = htmlspecialchars($_POST["comment"]);
    echo "Comment: $comment";
  }
?>

การป้องกันการแทรกคำสั่งเอสคิวแอล

การแทรกคำสั่งเอสคิวแอลเกิดขึ้นเมื่อมีการแทรกรหัสที่เป็นอันตรายลงในคำสั่งเอสคิวแอลของคุณ ใช้คำสั่งที่เตรียมไว้เพื่อป้องกันปัญหานี้ ตัวอย่าง:

ประเด็นสำคัญ: ใช้คำสั่งที่เตรียมไว้ทุกครั้งเมื่อติดต่อกับฐานข้อมูล

<?php
  $pdo = new PDO("mysql:host=localhost;dbname=testdb", "root", "");
  $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
  $stmt->execute(["username" => $_POST["username"]]);
  $user = $stmt->fetch();
?>

รูปแบบการตรวจสอบความถูกต้องที่ใช้บ่อย

ต่อไปนี้คือรูปแบบที่ใช้บ่อย:

• การตรวจสอบหมายเลขโทรศัพท์: preg_match('/^\d{10}$/', $phone)
• การตรวจสอบรหัสผ่าน: ตรวจสอบความยาวและความซับซ้อน

ตัวอย่าง: การตรวจสอบรหัสผ่านที่รัดกุม:

<?php
  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $password = $_POST["password"];
    if (strlen($password) >= 8 && preg_match('/[A-Z]/', $password)) {
      echo "Strong password!";
    } else {
      echo "Password must be at least 8 characters long and include an uppercase letter.";
    }
  }
?>

การรักษาความปลอดภัยของการอัปโหลดไฟล์

สำหรับแบบฟอร์มที่จัดการการอัปโหลดไฟล์:

• ตรวจสอบประเภทและขนาดของไฟล์
• จัดเก็บไฟล์ไว้ในไดเรกทอรีที่ปลอดภัยซึ่งอยู่นอกไดเรกทอรีรากของเว็บ

ตัวอย่าง:

<?php
  if ($_FILES["file"]["size"] < 500000 && in_array($_FILES["file"]["type"], ["image/jpeg", "image/png"])) {
    move_uploaded_file($_FILES["file"]["tmp_name"], "/secure/location/" . $_FILES["file"]["name"]);
    echo "File uploaded successfully!";
  } else {
    echo "Invalid file.";
  }
?>

ทำได้ดีมาก!

ขอแสดงความยินดีด้วย คุณได้เรียนรู้วิธีตรวจสอบความถูกต้องและรักษาความปลอดภัยของข้อมูลที่ป้อนในแบบฟอร์ม เพื่อให้เว็บแอปพลิเคชันของคุณปลอดภัยและเชื่อถือได้แล้ว ในบทเรียนถัดไป เราจะเรียนรู้การจัดการการอัปโหลดไฟล์ใน PHP มาเขียนโปรแกรมกันต่อไป!