PHP - comment désinfectez-vous vos formulaires de contact?

Question

Quelqu'un at-il rencontré une fonction/classe à l'épreuve des balles (maison ou natif) pour sécuriser les formulaires de contact?

Answer 1

Voir:

Secure Your Forms With Form Keys

Mieux encore, emploient:

HTML Purifier

Purificateur HTML est conforme aux normes bibliothèque de filtres HTML écrit en PHP. HTML Purifier non seulement supprimer tous code malveillant (mieux connu sous le nom XSS) avec un fond vérifié, sécuriser encore whitelist permissive, il sera également assurez-vous que vos documents sont des normes conformes, quelque chose que réalisable avec une connaissance approfondie de Spécifications du W3C. Fatigué d'utiliser BBCode en raison du paysage actuel de filtres HTML déficients ou non sécurisés? Avoir un éditeur WYSIWYG mais n'a jamais été capable de l'utiliser? Vous recherchez des composants Open Source de haute qualité et conformes aux normes pour l'application que vous construisez? HTML Le purificateur est pour vous!

Answer 2

Je recommande d'utiliser l'OWASP Enterprise Security API il est une collection de accesseurs qui filter user input en fonction du type de données qu'il doit être. Une autre couche de sécurité gratuite est un Web Application Firewall (WAF) tel que PHP-IDS ou mod_security. Un WAF empêchera de nombreux types d'attaques d'atteindre votre application. C'est probablement ce que vous cherchez, car il s'agit d'une solution "drop in" qui ne nécessite aucune modification de votre application. Une bibliothèque de validation d'entrée vous aidera, mais vous devez garder à l'esprit qu'il n'y a pas de solution miracle, vous ne pouvez pas appeler une routine ou installer un logiciel et s'attendre à ce que toutes les vulnérabilités disparaissent. Les vulnérabilités de validation d'entrée dépendent fortement de la manière dont les données sont utilisées. Par exemple LFI, XSS, CRLF et SQL Injection ont tous des caractères de contrôle différents et ont donc leurs propres exigences pour le filtrage/l'échappement/l'encodage. Si vous voulez construire une application PHP vraiment solide, alors vous devez lire le PHPSec LIbrary.

La meilleure façon d'empêcher l'injection SQL est d'utiliser des requêtes paramétrées avec une bibliothèque telle que PHP's PDO. De cette façon vous SAVIEZ que la requête est immunisée à l'injection SQL, indépendamment de l'origine des données.

En outre, certaines vulnérabilités n'ont rien à voir avec la validation des entrées. Les violations CSRF et crypto sont deux excellents exemples. Vous devriez également lire le OWASP Top 10.

Answer 3

Je ne pense pas que ce soit un cas particulier, utilisez toujours des requêtes paramétrées lors de l'interaction avec une base de données.

Parce que la configuration de requêtes paramétrées avec PHP/mysqli peut être une douleur verbeuse, je recommande fortement Rob Poyntz Codesense_mysqi class. C'est une petite enveloppe soignée qui cache la plus grande partie de l'ennui.