មេរៀនទី៩៖ មូលដ្ឋានសុវត្ថិភាពវ៉ែប(Web Security Basics)

<?php
// អនុវត្តសុវត្ថិភាពជាមួយ htmlspecialchars()
function safeOutput($input) {
    return htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
}

// ឧទាហរណ៍
$userInput = "<script>alert('Hacked!')</script>";
echo safeOutput($userInput); // លទ្ធផល: &lt;script&gt;alert(&#39;Hacked!&#39;)&lt;/script&gt;
?>

<?php
// ការពារទិន្នន័យមុនបង្ហាញនៅលើទំព័រ
$comment = $_POST['comment'];
echo "<div class='comment'>" . safeOutput($comment) . "</div>";
?>

<?php
// ឧទាហរណ៍ដោយប្រើ PDO
$pdo = new PDO('mysql:host=localhost;dbname=test', 'username', 'password');

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->execute(['username' => $_POST['username']]);

$user = $stmt->fetch();
?>

<?php
// ការពារដោយមិនប្រើប្រាស់អាសយដ្ឋានដោយផ្ទាល់
$unsafeQuery = "SELECT * FROM users WHERE username = '" . $_POST['username'] . "'";
// ជំនួសដោយ៖
$safeQuery = "SELECT * FROM users WHERE username = ?";
?>

<?php
// បង្កើត token
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

// បញ្ចូល token ក្នុងធាតុធម្មតា
echo '<input type="hidden" name="csrf_token" value="' . $_SESSION['csrf_token'] . '">';
?>

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        die('CSRF Token មិនត្រឹមត្រូវ!');
    }
    // បន្តដំណើរការ...
}
?>

<?php
// កំណត់ session ដោយសុវត្ថិភាព
session_start([
    'cookie_lifetime' => 86400,
    'cookie_secure'   => true,
    'cookie_httponly' => true,
    'use_strict_mode' => true
]);
?>

<?php
function authenticateUser($username, $password) {
    // 1. ស្វែងរកអ្នកប្រើប្រាស់
    // 2. ផ្ទៀងផ្ទាត់ពាក្យសម្ងាត់
    // 3. កំណត់ session
    $_SESSION['authenticated'] = true;
    $_SESSION['user_id'] = $user['id'];
    
    // 4. កំណត់ពេលវេលាផុតកំណត់
    $_SESSION['last_activity'] = time();
}
?>

<?php
class SecurityImprovement {
    public static function secureLoginSystem() {
        // កូដដែលបានកែលម្អនឹងត្រូវបានបញ្ចូលនៅទីនេះ
    }
}
?>