Dacă ești programator web, știi deja că unul dintre cele mai importante aspecte în dezvoltarea oricărei aplicații este validarea riguroasă a datelor introduse de utilizatori. În securitatea informatică există o regulă de aur de la care nu ar trebui să existe excepții: „Niciodată să nu ai încredere în datele primite de la utilizator sau dintr-o sursă externă” (nu doar formulare web, ci și parametri din URL, antete HTTP sau cookie-uri).
Lipsa verificării datelor poate deschide breșe grave de securitate, precum atacuri de tip SQL Injection, Cross-Site Scripting (XSS), execuție de comenzi de la distanță sau coruperea bazei de date. În PHP, validarea se poate realiza atât prin expresii regulate (Regex), cât și prin filtre native specializate.
Validarea adreselor URL în PHP
Atunci când prelucrezi adrese web furnizate de vizitatori, este esențial să verifici dacă șirul de caractere respectă structura standard a unui URL valid (protocol, domeniu, port opțional și cale). Iată un exemplu clasic de verificare folosind o expresie regulată:
<?php
$url = "https://dexblog.ro/";
// Verificarea structurii URL-ului cu expresii regulate
$pattern = '/^(http|https|ftp):\/\/([A-Z0-9][A-Z0-9_-]*(?:\.[A-Z0-9][A-Z0-9_-]*)+):?(\d+)?\/?/i';
if (preg_match($pattern, $url)) {
echo "Adresa URL introdusă este validă.";
} else {
echo "Eroare: Formatul adresei URL este incorect.";
}
?>Deși expresiile regulate oferă control deplin, în versiunile moderne de PHP este recomandat să utilizezi funcția nativă filter_var() cu indicatorul FILTER_VALIDATE_URL, fiind mai rapidă și mai ușor de întreținut:
<?php
if (filter_var($url, FILTER_VALIDATE_URL)) {
echo "URL valid verificat prin filter_var.";
}
?>Validarea adreselor de email
O altă cerință frecventă în orice modul de înregistrare, autentificare sau contact este confirmarea validității adreselor de email. O funcție simplă bazată pe expresii regulate poate arăta astfel:
<?php
function email_check($field) {
// Verificarea formatului adresei de email
$pattern = '/^[a-z0-9&'\.\-_\+]+@[a-z0-9\-]+\.([a-z0-9\-]+\.)*?[a-z]+$/is';
if (!preg_match($pattern, $field)) {
return false;
} else {
return true;
}
}
// Exemplu de utilizare:
$email = "contact@dexblog.ro";
if (email_check($email)) {
echo "Adresa de email este validă.";
} else {
echo "Adresa de email nu respectă formatul cerut.";
}
?>Similar adreselor URL, pentru adrese de poștă electronică poți apela nativ la filter_var($email, FILTER_VALIDATE_EMAIL), mecanism ce acoperă specificațiile standard RFC.
Bune practici pentru securitatea datelor
Pentru a construi aplicații web sigure și robuste, reține următoarele principii fundamentale:
- Validare dublă (Client și Server): Chiar dacă validezi formularele în browser prin JavaScript pentru o experiență mai bună a utilizatorului, validarea pe server este obligatorie, deoarece cererile HTTP pot fi ușor manipulate direct prin unelte precum cURL sau Postman.
- Curățare (Sanitizare) înainte de stocare: Pe lângă validare, elimină caracterele periculoase sau formatează datele corespunzător înainte de salvarea în baza de date sau afișarea în pagină (folosind declarații pregătite PDO/MySQLi și
htmlspecialchars()). - Principiul listei albe (Whitelisting): Permite doar caracterele și formatele explicit autorizate, respingând orice altceva în mod implicit.
Internetul pune la dispoziție numeroase biblioteci și componente mature de validare. Investește câteva minute în implementarea verificărilor potrivite pentru fiecare câmp – este cea mai sigură metodă de a preveni breșele de securitate în proiectele tale web.
