راهنمای جامع پاک‌سازی داده‌های ورودی در PHP بر اساس استانداردهای گوگل

مقدمه: چرا نباید به داده‌های ورودی کاربر اعتماد کرد؟

یکی از قوانین طلایی امنیت وب که همواره توسط مهندسان امنیتی گوگل تاکید می‌شود این است: هرگز به ورودی‌های کاربر اعتماد نکنید! هر داده‌ای که از مرورگر کلاینت به سرور ارسال می‌شود (از طریق فرم، پارامترهای URL، هدرها یا کوکی‌ها)، پتانسیل مخرب بودن را دارد. هکرها از این ورودی‌ها برای اجرای حملاتی مانند تزریق کد مخرب (XSS) و تزریق کدهای پایگاه داده (SQL Injection) استفاده می‌کنند.

تفاوت اعتبارسنجی (Validation) با پاک‌سازی (Sanitization)

قبل از پرداختن به کدنویسی، تفکیک این دو مفهوم ضروری است:

اعتبارسنجی (Validation): فرآیند بررسی منطقی بودن داده است (مثلاً آیا ساختار ورودی یک ایمیل معتبر است؟ یا سن کاربر یک عدد بزرگتر از صفر است؟).
پاک‌سازی (Sanitization): فرآیند حذف یا بی‌اثر کردن بخش‌های مخرب داده است به طوری که ذخیره‌سازی و پردازش آن آسیبی به سیستم نرساند.

استانداردهای امنیتی گوگل در پاک‌سازی ورودی‌ها

گوگل توصیه می‌کند که فرآیند مقابله با تهدیدات ورودی در سه لایه انجام شود:

فیلتر کردن ورودی‌ها در بدو ورود: استفاده از فیلترهای سخت‌گیرانه برای حذف کاراکترهای اضافی.
استفاده از سیستم‌های آماده و امن (Prepared Statements): برای ارتباط با دیتابیس همواره از PDO و کوئری‌های از پیش آماده استفاده کنید تا جلوی SQL Injection گرفته شود.
فرار دادن خروجی متناسب با کانتکست (Context-aware Escaping): خنثی‌سازی کدهای HTML در زمان نمایش به کلاینت جهت خنثی‌سازی حملات XSS.

پیاده‌سازی پاک‌سازی داده‌ها در PHP

زبان PHP مجهز به توابع پیش‌فرضی است که مطابق با استانداردهای مدرن، فیلترهای متنوعی را اعمال می‌کنند. بهترین راهکار، استفاده از توابع خانواده filter_var است.

۱. فیلتر کردن و پاک‌سازی آدرس ایمیل

برای حذف کاراکترهای غیرمجاز از آدرس ایمیل، از فیلتر FILTER_SANITIZE_EMAIL استفاده می‌کنیم:


$dirty_email = "user(example)@domain.com";
$clean_email = filter_var($dirty_email, FILTER_SANITIZE_EMAIL);
// خروجی: userexample@domain.com

۲. پاک‌سازی آدرس‌های وب (URL)

پاک‌سازی آدرس‌های URL جهت جلوگیری از هدایت کاربر به سایت‌های مخرب بسیار مهم است:


$dirty_url = "https://google.com/test";
$safe_comment = htmlspecialchars($user_comment, ENT_QUOTES, 'UTF-8');
// خروجی: <script>alert('Hacked');</script>

نمونه ساختار HTML ایمن شده:

طبق قانون چهارم، نمونه زیر نمایش‌دهنده یک تگ ایمن با فاصله‌های مجاز برای جلوگیری از تداخل اجراست:


< div class='safe-content' >
    <p>پیام کاربر به صورت متنی و بدون خطر اجرا نمایش داده می‌شود.</p>
< / div >

نتیجه‌گیری

امنیت پروژه شما به عنوان یک برنامه‌نویس حرفه‌ای، وابسته به چگونگی برخورد شما با ورودی‌هاست. با ترکیب توابع پاک‌سازی PHP و رعایت اصول ایمن‌سازی گوگل، امنیت وب‌سایت خود را تا ۹۹٪ در برابر حملات معمول کلاینت-سرور تضمین کنید.