PHP

Çarş. Ara. 31, 2008 2:06 pm

PHP

Günümüzde Internet'te ne kadar güvenlik önlemi alınsa, yeridir. Sadece
iyi niyetli olmayan kişilere karşı değil, fakat daha çok ne yaptığını
tam bilmeyen Web ziyaretçilerini de düşünmek ve PHP programlarınızın
güvenliğini arttırmak zorundasınız.
Internet’te iyiniyetli olunmaz. Acı, ama gerçek. Internet’e içine
zararlı kod yerleştirilebilecek bir Form koyarsanız, emin olmalısınız
ki, birisi bu zararlı kodu koyacaktır. Sadece kötüniyetli kişilerin
size söz gelimi elektronik posta adresi veya mesaj görünümünde zararlı
kod göndermesini önlemek için değil, fakat normal kullanıcıların
yapabilecekleri sıradan hataları yakalamak ve düzeltmek için de önlem
almanız gerekir.
Server güvenliği son derece önemli bir konu olmakla birlikte, bunu
sağlamak genellikle tasarımcının sorumluluğunda değildir. Bununla
birlikte sayfalarımızın ve veritabanımızın güvenliği ve Web
uygulamalarımızın doğru işlemesi bizden sorulur.
Bir form ile sizin sayfalarınıza veya veritabanınıza ne gibi zararlar
verilebilir? Bu zararların başında, en hafifinden sizin sayfanızı başka
yere yönlendirmek gelebilir. Kötüniyetin ölçüsü arttıkça bu, Server
programının açıklarından yararlanarak, Server’daki dosyaları
değiştirmeye veya tahrip etmeye kadar gidebilir. Normal ziyaretçi
hataları arasında ise sözgelimi elektronik posta adresini iki @
işaretiyle yazmaktan tutun, bu işareti koymamaya, metktubun gideceği
bilgisayarın adresini eksik yazmaya kadar uzanan bir dizi yanlışlık
bulunabilir. Ziyaretçiler formu eksik doldurabilirler. Bu gibi
eksiklikler ve yanlışlıkları daha sonra düzeltmek zaman kaybına yol
açar. Kimi zaman eksik doldurulmuş bir Form, bu bilgilerin
ulaştırılacağı programda hataya yol açabilir. Bu sebeple, özellikle
Form yoluyla alınan bilgilerin denetimi ve doğrulatılması şarttır.
Bir Form’un içerdiği bilgilerin denetimi ve doğrulanması iki yerde
yapılabilir: istemci-tarafında, sunucu-tarafında. İstemci tarafında,
yani ziyaretçiye göndereceğimiz HTML sayfasının içinde yer alan
kodlarla yapacağımız denetim-doğrulama, hızlı çalışır; ve ziyaretçi ile
sunucu arasında iletişim kurulmadan önce yapılır; böylece ziyaretçinin
sözgelimi gönder düğmesini tıkladıktan sonra çok beklemesi gerekmez. Ne
var ki bu yöntemde denetim-doğrulama kodu ziyaretçiye gönderilmiştir;
kötü niyetli kişi neyi denetlediğinizi görecek ve isterse bu denetimi
kaldıracak size zararlı kod parçacıkları gönderebilecektir. Denetimin
sunucu tarafında yapılması, belki biraz daha fazla zaman harcamayı
gerektirir, fakat güvenlik açısından daha etkili olabilir. Elektronik
posta adresi doğırulama ve mesajların içinden zararlı kodları ayıklama
yöntemlerinden Düzenli İfadeler bölümünden söz ettik. Orada ele
aladığımız örnek kodlar geliştirilerek ziyaretçilerin girdilerinde daha
sıkı aramalar yapılabilir.