Sicheres Kommentar in PHP

Verwenden Sie HTMLSpecialChars () und Vorverarbeitungsanweisungen, um die XSS- und SQL -Injektion zu verhindern. 2. Überprüfen Sie die Eingabe über TRIM (), Längenprüfung und filter_var (); 3. Fügen Sie Honeypot -Felder oder Recaptcha V3 hinzu, um sich gegen Spam -Kommentare zu verteidigen. 4. Verwenden Sie CSRF -Token, um sicherzustellen, dass die Quelle des Formulars vertrauenswürdig ist. 5. Verwenden Sie Vorverarbeitungsanweisungen während des Speichers und HTMLPurifier, um den Inhalt vor der Anzeige zu reinigen, und vertrauen Sie den Benutzereingaben während des gesamten Prozesses nicht, um ein sicheres PHP -Kommentarsystem zu erstellen.

Beim Erstellen eines Kommentarsystems in PHP ist die Sicherheit nicht optional - es ist wesentlich. Ein schlecht gesichertes Kommentarformular ist eine direkte Einladung für XSS (Cross-Site-Skript), SQL-Injektion, Spam-Bots und sogar vollständige Serverkompromisse. Hier erfahren Sie, wie Sie ein sicheres Kommentarsystem in PHP richtig erstellen können:

✅ 1. Desinfizieren Sie die Eingabe vor der Verwendung

Vertrauen Sie niemals den Benutzereingaben - selbst wenn es harmlos aussieht.

• Verwenden Sie htmlspecialchars() um HTML -Zeichen zu entkommen, wenn Sie Kommentare ausgeben:

  

   echo htmlspecialChars ($ comment, ent_quotes, 'utf-8');

  Dies verhindert XSS durch Konvertieren von <script> -Tags in einen harmlosen Text.

• Verwenden Sie für Datenbankspeicher vorbereitete Anweisungen mit PDO oder MySQLI:

  

   $ stmt = $ pdo-> vorbereiten ("In Kommentare einfügen (Name, Kommentar) Werte (?,?)");
  $ stmt-> execute ([$ name, $ comment]);

  Dies stoppt die SQL -Injektion kalt.

✅ 2. Validieren und Filtereingang

Überprüfen Sie, was Benutzer einreichen - nicht so, wie sie es einreichen.

• Whitespace und Länge begrenzen:

   $ name = trim ($ _ post ['name']);
  $ comment = trim ($ _ post ['comment']);
  
  if (strlen ($ name) <1 || strlen ($ name)> 50) {
      sterben ("Name muss 1–50 Zeichen sein.");
  }
  if (strlen ($ comment) <5 || strlen ($ comment)> 1000) {
      Die ("Kommentar muss 5–1000 Zeichen sein.");
  }

• Verwenden Sie filter_var() für E -Mail- oder URL -Felder:

   if (! filter_var ($ mail, filter_validate_email)) {
      Die ("Ungültige E -Mail");
  }

✅ 3.. Verhindern

Spam -Bots lieben offene Formen.

• Fügen Sie ein einfaches Honeypot -Feld hinzu (für den Menschen unsichtbar, für Bots sichtbar):

   <Eingabe type = "text" name = "honeypot" style = "display: keine;">

  In PHP:

   if (! leer ($ _ post ['honeypot'])) {
      sterben ("Spam erkannt.");
  }

• Oder Integrated Recaptcha v3 (für Benutzer unsichtbar, effektiv gegen Bots). Überprüfen Sie die Score Server-Seite:

   $ recaptcha = $ _post ['g-recaptcha-response'];
  $ response = file_get_contents ("https://www.google.com/recaptcha/api/Siteverify?secret=your_secret&response=$recaptcha");
  $ responseKeys = json_decode ($ response, true);
  if (! $ responseKeys ["Erfolg"]) {
      Die ("Recaptcha fehlgeschlagen.");
  }

✅ 4. Verwenden Sie CSRF -Token für die Formintegrität

Verhindern Sie die Anfrage im Querbereich, indem Sie Formulare an aktive Sitzungen binden.

• Erstellen Sie ein Token bei Formularlast:

   Session_Start ();
  $ _Session ['csrf_token'] = bin2hex (random_bytes (32));

  In Form:

   <Eingabe type = "Hidden" name = "csrf_token" value = "<? = $ _Session [&#39;csrf_token&#39;]?>">

• Überprüfen Sie unter Einreichung:

   if (!
      sterben ("CSRF -Token -Fehlanpassung.");
  }

✅ 5. Sicher speichern und sicher anzeigen

• Speichern Sie die Roheingabe in der DB (mit vorbereiteten Aussagen), sanften jedoch immer die Ausgabe .
• Erlauben Sie niemals <script> , <iframe> oder javascript: URLs, es sei denn, Sie verwenden einen robusten HTML -Filter wie den HTML -Purifier .

Beispiel mit HTML -Purifikator:

 required_once 'htmlpurifier/htmlpurifier.auto.php';
$ config = htmlpurifier_config :: createfault ();
$ purifier = new HTMLPurifier ($ config);
$ clean_comment = $ purifier-> purify ($ comment);

Abschluss Tipp:

Melden Sie verdächtige Aktivitäten (wie mehrere fehlgeschlagene Einreichungen von derselben IP) und in Betracht, einen Dienst wie Akismet für die Spam -Erkennung zu verwenden, wenn Ihre Website wächst.

Sicheres Kommentar geht es nicht um einen Zaubertrick - es ist die Ebenen. Machen Sie diese Grundlagen und Sie werden 99% der gemeinsamen Angriffe blockieren.

Vertrauen Sie dem Benutzer im Grunde genommen nichts, wenn er gereinigt, validiert und entkommen wird. Das ist das ganze Spiel.

Das obige ist der detaillierte Inhalt vonSicheres Kommentar in PHP. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!