Разработчикам
приложений на PHP стоит думать о защите своего кода, каждый раз когда они пишут функции, опытные разработчики стараются писать его правильно, написать для формы, фильтры, защиту от XSS атак и.т.д. Когда начинающие разработчики просто не задумываясь пишут код, который не содержит в себе защиты, такой подход к вашему приложению взломщики (Cracker), не будем называть Хакерами, так как профессиональные взломщики этого не любят. Просто могут получить доступ к данным вашего сайта.
Баланс пользователя или генерируем паролиНа практике часто в приложении есть регистрация, база данных для хранения паролей и информации пользователей. Пользователи часто выбирают пароли которые с помощью специального ПО можно подобрать пароль пользователя и зайти под его учетной записью. Как же сделать безопасность при регистрации и повысить безопасность системой для пользователя, что бы данные его были надежно защищены?
Решение с помощью генерации паролей.Регистрация должна быть простой, легкой и как можно меньше полей для ввода информации, как показала практика Jerio Media писала статью о интерфейсе регистрации, регистрацию можно разделить на 3 части, в первую вводим Имя и Логин, во вторую пароль, который генерирует новый пароль и после регистрации пользователь на E-Mail получает пароль, так же можно предложить изменить его и дать советы какие пароли могут быть более безопасными. Рекомендуется менять пароли не реже раз в месяц, уведомив, что на ваш E-Mail был сконфигурирован пароль. Но такой метод не рекомендуется использовать, поскольку каждый раз генерация паролей, сообщений на почту составляет не удобный интерфейс и пользователю просто не удобно пользоваться такой системой. Мы как проектировщики должны сделать интерфейс и функции удобными и подумать о безопасности например база данных, бекапы, получение данных из форм, DDOS атаки, XSS и другие методы. В этой статье мы подробно поговорим о реализации безопасности, конечно мы все рассказать не сможем, но есть другие статьи которые помогут вам сделать ваше приложение безопасней.
Мониторинг или чем полезны журналы логов Когда ваше приложение готово к работе и вы разместили на серверах, ваша работа над приложением еще не заканчивается. Вам как разработчикам и администраторам ресурса, важно посмотреть как ведет приложение с пользователями. Для этого вам надо проектировать журнал логов, который будет показывать производительность системы, ошибки когда. Такой метод позволяет вам следить за защитой вашего приложения, узнать где есть ошибки в коде и где их исправить. Но что бы узнать о ошибках, не которых например когд выполняет с работой пользователя, а ошибки которые создают на сайте злоумышленники, например просто журнал покажет что была ошибка в бд, и данные какие то могли потеряться, такой метод простого мониторинга не достаточно.
Оценим с кем имеет дело Мы уже говорили что есть взломщики, но есть и пользователи которые не в чем в не подозрения, однако их машины с вирусами могут навредить вашему приложению, а еще интересней что мы сами можем навредить системе. Вопрос как? Я же разработчик! Да легко! Просто когда мы проектируем код, мы забываем о всех методах защиты, например почему бы формы не обезопасить проверкой, не подумать сколько пользователь может находиться в сессии и как удалять его cookie. Главная защита кода это фильтрация вводимых данные пользователем. Например выбираем пол пользователя, как только злоумышленник XSS запрос что бы получить данных или что бы пользователь отправил данные, нужно создать такому опросу обработчик который бы содержал в себе варианты ответов. Фильтруйте даже простые значения.