Gestire i Form in PHP: Sicurezza e Validazione degli Input

Qualsiasi form HTML, da un semplice campo di ricerca a un complesso form di registrazione, è un punto di interazione in cui l'utente invia dati al tuo server. Gestire questi dati in modo sicuro è una delle responsabilità più importanti di uno sviluppatore PHP.

Mai Fidarsi dell'Input dell'Utente

La regola numero uno è: tutti i dati che provengono dall'esterno (`$_GET`, `$_POST`, `$_COOKIE`) sono potenzialmente malevoli. Devono essere sempre validati e sanitizzati prima di essere usati.

Validazione vs. Sanitizzazione

• La Validazione controlla se i dati sono nel formato corretto. Esempio: "Questo campo è un indirizzo email valido?", "Questo campo è un numero e non una stringa?". Se i dati non sono validi, si restituisce un errore all'utente.
• La Sanitizzazione modifica i dati per rimuovere eventuali caratteri o codice pericoloso. Esempio: rimuovere i tag HTML da un campo che dovrebbe contenere solo testo semplice.

Le Funzioni di Filtro di PHP

PHP fornisce un'estensione potentissima per queste operazioni: Filter. La funzione `filter_input()` o `filter_var()` permette di validare e sanitizzare i dati in modo semplice e sicuro.

Esempio di Validazione e Sanitizzazione

// Recuperiamo l'email dal form (usando il metodo POST)
$email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL);

// Validiamo l'email
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    // Non è un'email valida, mostriamo un errore
    $errors[] = "L'indirizzo email non è valido.";
}

// Sanitizziamo un campo di testo per prevenire XSS
$nome = filter_input(INPUT_POST, 'nome', FILTER_SANITIZE_FULL_SPECIAL_CHARS);

Prevenire gli Attacchi

Una corretta gestione dei form previene le vulnerabilità più comuni:

• Cross-Site Scripting (XSS): Si previene sanitizzando l'output con funzioni come `htmlspecialchars()` prima di stamparlo in una pagina HTML. Questo converte caratteri come `<` e `>` nelle loro entità, impedendo l'esecuzione di script. Abbiamo una guida completa sull'XSS.
• SQL Injection: Si previene usando sempre i Prepared Statements quando si interagisce con il database, non concatenando mai le variabili direttamente nelle query.
• Cross-Site Request Forgery (CSRF): Si previene generando un token casuale e unico per ogni form, che viene verificato sul server per assicurarsi che la richiesta provenga dal proprio sito e non da un sito esterno malevolo.