سطح B: زره امنیتی (خنثی‌سازی XSS و بررسی عدد)

در سطح A، جلوی ورودی‌های خالی را گرفتیم. اما مشکل اصلی (حمله XSS) همچنان پابرجاست. ما به ورودی کاربر اجازه دادیم که به عنوان کد HTML/JavaScript اجرا شود. در این سطح، زره امنیتی خود را می‌پوشیم.

محتوای آموزشی

۱. حمله XSS چیست؟

XSS مخفف **Cross-Site Scripting** است. این حمله زمانی اتفاق می‌افتد که یک مهاجم، کدهای سمت-مشتری (مثل JavaScript) را به یک صفحه وب «تزریق» می‌کند تا در مرورگر کاربران دیگر اجرا شود. هدف می‌تواند دزدیدن اطلاعات (مثل کوکی‌های لاگین) یا تغییر ظاهر سایت برای فریب کاربر باشد.

کاری که ما در ابتدای کلاس با <script>alert(...)</script> انجام دادیم، ساده‌ترین نوع حمله XSS بود.

۲. راه‌حل: پاک‌سازی (Sanitization) با htmlspecialchars()

راه‌حل این نیست که جلوی کاربر را بگیریم که کاراکتر < را تایپ کند. شاید نام شرکت کاربر "" باشد! راه‌حل این است که این کاراکترها را «خنثی» کنیم.

تابع htmlspecialchars() دقیقاً همین کار را می‌کند. این تابع، کاراکترهای خاص HTML را به «موجودیت‌های HTML» (HTML Entities) بی‌خطر تبدیل می‌کند:

• < تبدیل می‌شود به < (که در مرورگر < نمایش داده می‌شود اما تگ نیست)
• > تبدیل می‌شود به > (که در مرورگر > نمایش داده می‌شود اما تگ نیست)
• & تبدیل می‌شود به &
• " (دابل کوتیشن) تبدیل می‌شود به "
• ' (سینگل کوتیشن) تبدیل می‌شود به '

قانون طلایی: هرگز، هرگز، هرگز داده‌ای که از کاربر می‌گیرید را مستقیماً در HTML با echo چاپ نکنید، مگر اینکه قبلاً آن را از htmlspecialchars() عبور داده باشید.

۳. اعتبارسنجی نوع: is_numeric()

مشکل دیگر: در ماشین حساب گام ۴، اگر کاربر به جای عدد "10"، کلمه "ده" را وارد می‌کرد چه؟ PHP سعی می‌کرد "ده" را به عدد تبدیل کند (که 0 می‌شود) و محاسبات غلط از آب در می‌آمد.

تابع is_numeric() بررسی می‌کند که آیا یک متغیر، یک عدد یا یک «رشته عددی» (مثل "123") هست یا خیر.

is_numeric(123);     // true
is_numeric("123");   // true
is_numeric("123.45"); // true
is_numeric("123a");  // false
is_numeric("ده");   // false

---

کارگاه عملی: ایمن‌سازی کامل فرم

بیایید کد سطح A را برداریم و آن را در برابر XSS ایمن کنیم:

<?php
$message = "";

if ($_SERVER["REQUEST_METHOD"] == "POST") {
    
    $clean_name = trim($_POST['user_name']);
    
    if (empty($clean_name)) {
        $message = "<div class='alert alert-danger'>لطفاً نام خود را وارد کنید.</div>";
    } else {
        // *** این خط تغییر کرده ***
        // ۱. اول داده را برای چاپ، امن می‌کنیم
        $safe_name_to_print = htmlspecialchars($clean_name);
        
        // ۲. حالا از نسخه امن شده در خروجی استفاده می‌کنیم
        $message = "<div class='alert alert-success'>سلام، " . $safe_name_to_print . "! خوش آمدی.</div>";
    }
}
?>

<!-- ... بخش HTML فرم ... -->

خروجی و تحلیل:

حالا اگر کاربر کد <script>alert(1)</script> را وارد کند، `alert` اجرا **نمی‌شود**. بلکه کاربر در خروجی این متن را می‌بیند:

ما با موفقیت حمله را خنثی کردیم! کد مخرب، به یک متن بی‌خطر تبدیل شد.

---

تمرین شما

باشگاه ذهن: اعتبارسنجی در مقابل پاک‌سازی