في هذا الدرس 6تصفّح المواضيع
تحدث ثغرة البرمجة العابرة للمواقع (XSS) عندما يطبع تطبيق الويب بيانات غير موثوقة داخل الصفحة دون ترميز، مما يسمح للمهاجم بتنفيذ كود JavaScript داخل متصفح الضحية.
- ثغرة XSS المنعكسة (Reflected): تُطبع المدخلات الخبيثة القادمة في الطلب الحالي (مثل
$_GET["q"]) مباشرة داخل صفحة الاستجابة. - ثغرة XSS المخزنة (Stored): تُحفظ المدخلات الخبيثة في قاعدة البيانات (مثل تعليق أو نبذة شخصية) وتُنفذ في متصفح كل زائر يستعرض الصفحة.
- القاعدة الذهبية: تحقق من المدخلات عند الاستقبال، وخزّن البيانات الخام في قاعدة البيانات عبر PDO، ورمّز المخرجات لحظة الطباعة في القالب.
بدلاً من تفسير <script> كوسم برمجي قابل للتنفيذ، يعرضه المتصفح كنص عادي غير ضار على الشاشة.
<?php
$searchQuery = '<script>alert("XSS")</script>';
// VULNERABLE: Echoing raw input directly into HTML
// echo "Results for: " . $searchQuery;
// SECURE: Escaping special HTML characters on output
$safeQuery = htmlspecialchars($searchQuery, ENT_QUOTES, 'UTF-8');
echo "Results for: " . $safeQuery . "\n";الأداة الأساسية للوقاية من XSS في قوالب PHP هي الدالة htmlspecialchars($string, ENT_QUOTES | ENT_SUBSTITUTE, "UTF-8") التي تحول الرموز الخمسة الحساسة في HTML إلى كيانات نصية آمنة.
- تحول الرمز
&إلى&، و<إلى<، و>إلى>، وعلامتي التنصيص المزدوجة والمفردة إلى كيانات آمنة. - أصبحت الأعلام
ENT_QUOTES | ENT_SUBSTITUTEوالترميز"UTF-8"افتراضية منذ PHP 8.1+، ويُفضل تمريرها صراحة لوضوح الكود. - عرّف دالة مساعدة مختصرة
e(string $val): stringلتسهيل ترميز كل متغير يُطبع في القوالب.
تتعامل الدالة المساعدة e() بأمان مع القيم الفارغة null، وترمّز علامات التنصيص المزدوجة والمفردة والأقواس الزاوية.
<?php
function e(?string $value): string {
return htmlspecialchars(
(string) $value,
ENT_QUOTES | ENT_SUBSTITUTE,
'UTF-8'
);
}
$bio = 'O\'Reilly & "Friends" <Admin>';
echo e($bio) . "\n";تتطلب السياقات المختلفة في الصفحة قواعد ترميز مناسبة لكل منها؛ فاحرص دائماً على إحاطة خصائص HTML بعلامات تنصيص، واستخدم json_encode() مع أعلام الترميز السداسي عند تمرير بيانات PHP إلى JavaScript.
- أحِط قيم خصائص HTML دائماً بعلامات تنصيص مزدوجة
value="<?= e($val) ?>"؛ لأن الخصائص غير المحاطة بعلامات تنصيص يمكن اختراقها بمجرد إضافة مسافة. - لا تطبع النصوص الخام داخل وسم
<script>بالاعتماد علىhtmlspecialchars()وحدها. - استخدم
json_encode($data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT)أو مرر البيانات عبر خاصيةdata-*.
يحول العلم JSON_HEX_TAG الرمزين < و> إلى \u003C و\u003E، مما يمنع إغلاق وسم <script> المحيط.
<?php
$userData = [
'username' => 'Sara </script><script>alert(1)</script>',
'role' => 'editor',
];
$safeJson = json_encode(
$userData,
JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT
);
echo "const APP_USER = $safeJson;\n";لا يكفي استدعاء htmlspecialchars() على رابط أدخله المستخدم داخل <a href="...">؛ لأن الرابط الخبيث javascript:alert(1) لا يحتوي أصلاً على أي رموز خاصة في HTML!
- عندما ينقر المستخدم على رابط يبدأ بـ
javascript:...داخلhref، ينفذ المتصفح كود JavaScript فوراً. - حلل دائماً الروابط المدخلة عبر
parse_url($url, PHP_URL_SCHEME)واسمح فقط ببروتوكوليhttpوhttpsفي القائمة البيضاء. - تحقق كذلك من صحة بناء الرابط الكامل عبر
filter_var($url, FILTER_VALIDATE_URL)قبل عرضه.
تستخرج دالة safeUrl() بروتوكول الرابط، وترفض أي شيء غير http أو https بإرجاع "#"، ثم ترمّز الرابط الصالح.
<?php
function safeUrl(string $url): string {
$scheme = strtolower((string) parse_url($url, PHP_URL_SCHEME));
if (!in_array($scheme, ['http', 'https'], true)) {
return '#';
}
return htmlspecialchars($url, ENT_QUOTES, 'UTF-8');
}
echo "Attack : " . safeUrl("javascript:alert(1)") . "\n";
echo "Valid : " . safeUrl("https://closetag.com/php") . "\n";توجّه رؤوس الأمان في استجابة HTTP المتصفح لتقييد مصادر تحميل السكريبتات ومنع هجمات تخمين نوع المحتوى (MIME Sniffing).
- يمنع الرأس
Content-Security-Policy: default-src 'self'تشغيل السكريبتات المضمنة غير المصرح بها أو المحملة من نطاقات خارجية. - يمنع الرأس
X-Content-Type-Options: nosniffالمتصفح من تنفيذ الملفات النصية أو الصور المرفوعة كأكواد HTML أو JavaScript. - يحمي الرأس
X-Frame-Options: DENY(أو توجيهframe-ancestors 'none') صفحاتك من هجمات النقر الخادع (Clickjacking).
في تطبيقات PHP الإنتاجية، مرر كل سطر من هذه السياسات إلى الدالة header($line) قبل إرسال أي مخرجات HTML.
<?php
$headers = [
"Content-Security-Policy: default-src 'self'; frame-ancestors 'none'",
"X-Content-Type-Options: nosniff",
"X-Frame-Options: DENY",
"Referrer-Policy: strict-origin-when-cross-origin",
];
foreach ($headers as $line) {
echo $line . "\n";
}يُعد التحقق من المدخلات وترميز المخرجات خطي دفاع متكاملين يعملان في نقطتين مختلفتين من دورة حياة الطلب.
- تحقق من المدخلات فور وصول الطلب لفرض قواعد العمل والأنواع والأطوال والتنسيقات المسموحة.
- استخدم استعلامات PDO المحضرة عند حفظ البيانات في قاعدة البيانات لمنع حقن SQL.
- رمّز المخرجات بحسب السياق الدقيق (نص HTML أو خاصية أو رابط أو JSON) لحظة العرض في القالب.
تتحقق filter_var() من كون العمر عدداً صحيحاً ضمن النطاق عند الإدخال، بينما ترمّز htmlspecialchars() الاسم عند الطباعة في HTML.
| مرحلة الحماية | الأداة الأساسية في PHP | التهديد المستهدف |
|---|---|---|
| Input Validation | filter_var() / preg_match() | Malformed data & type errors |
| Database Layer | PDO prepare() + execute() | SQL Injection (SQLi) |
| HTML Body & Quoted Attr | htmlspecialchars(..., ENT_QUOTES) | Reflected & Stored XSS |
| Inline JS Data | json_encode(..., JSON_HEX_TAG) | Script breakout XSS |
| Link href / src URLs | parse_url() scheme whitelist | javascript: URI execution |
<?php
$rawAge = "25";
$rawName = 'Ali <Admin>';
$age = filter_var($rawAge, FILTER_VALIDATE_INT, [
'options' => ['min_range' => 13, 'max_range' => 120],
]);
$safeName = htmlspecialchars($rawName, ENT_QUOTES, 'UTF-8');
echo "User: $safeName (Age: $age)\n";ملخص الدرس
حصاد الدرسمراجعة مركّزة لأهم المفاهيم والقواعد الهندسية التي أتقنتها في هذا الدرس قبل التطبيق العملي
ماذا تعلّمت في هذا الدرس؟
يُعد التحقق من المدخلات وترميز المخرجات خطي دفاع متكاملين يعملان في نقطتين مختلفتين من دورة حياة الطلب. تحقق من المدخلات فور وصول الطلب لفرض قواعد العمل والأنواع والأطوال والتنسيقات المسموحة. استخدم استعلامات PDO المحضرة عند حفظ البيانات في قاعدة البيانات لمنع حقن SQL. رمّز المخرجات بحسب السياق الدقيق (نص HTML أو خاصية أو رابط أو JSON) لحظة العرض في القالب.
سجّل الدخول لحفظ تقدمك
تابع إنجاز المواضيع والمصطلحات والمهام، وكمّل من آخر خطوة على أي جهاز.
المصطلحات4
راجع المعنى، اشرحه لنفسك، ثم علّم البطاقة كمفهومة.
- 01 XSS Prevention الوقاية من XSS
- اقضِ على ثغرات حقن السكريبتات العابرة للمواقع XSS في PHP 8 باستخدام htmlspecialchars وفحص الروابط ورؤوس الحماية القياسية.
- للمراجعة
- 02 Stored vs Reflected XSS Attacks الفرق بين ثغرات XSS المخزنة والمنعكسة
- المفهوم الأساسي لقسم الفرق بين ثغرات XSS المخزنة والمنعكسة في لغة PHP الحديثة.
- للمراجعة
- 03 Escaping HTML with htmlspecialchars ترميز المخرجات النصية بـ htmlspecialchars
- الصياغة البرمجية والتطبيق العملي المباشر لقسم ترميز المخرجات النصية بـ htmlspecialchars.
- للمراجعة
- 04 Escaping HTML Attributes and JavaScript تأمين القيم داخل خصائص HTML و JavaScript
- قواعد التحقق وأفضل الممارسات القياسية الخاصة بقسم تأمين القيم داخل خصائص HTML و JavaScript.
- للمراجعة
لا توجد بطاقات تطابق البحث والتصفية.
اقرأ البطاقات بحرية. سجّل الدخول لحفظ تقدم مراجعتك.
الاختصارات4
راجع المعنى، اشرحه لنفسك، ثم علّم البطاقة كمفهومة.
- 01 PHP PHP
- PHP: Hypertext Preprocessor
- لغة البرمجة النصية على جانب الخادم لبناء تطبيقات الويب الديناميكية وواجهات البرمجة.
- للمراجعة
- 02 CLI CLI
- Command-Line Interface
- واجهة سطر الأوامر التي تتيح تشغيل ملفات PHP مباشرة عبر الطرفية.
- للمراجعة
- 03 FPM FPM
- FastCGI Process Manager
- مدير عمليات FastCGI عالي الأداء لمعالجة طلبات خادم الويب في PHP.
- للمراجعة
- 04 HTML HTML
- HyperText Markup Language
- لغة الترميز القياسية التي يولدها محرك PHP ويرسلها إلى متصفح العميل بعد التنفيذ.
- للمراجعة
لا توجد بطاقات تطابق البحث والتصفية.
اقرأ البطاقات بحرية. سجّل الدخول لحفظ تقدم مراجعتك.
مهامك قبل الاختبار
خطوة صغيرة كل مرة. وإنجاز تقدر ترجع له.
-
أنشئ ملف PHP محلياً ونفّذ المثال البرمجي المشروح في قسم الفرق بين ثغرات XSS المخزنة والمنعكسة للتحقق من المخرجات.
-
بدّل بين الحالات الثلاث في المحاكي التفاعلي ضمن قسم ترميز المخرجات النصية بـ htmlspecialchars وقارن مخرجات التنفيذ.
تأشير المهمة إقرار منك بإتمامها، وليس تصحيحًا آليًا للكود. يُحفظ تقدمك في حسابك.
اختبر فهمك.
ووصلها للإتقان.
كل سؤال خطوة لقدّام. اختار، اكتب كود، وشوف نتيجتك فورًا.
أكمل المهام، واجمع كل الإجابات الصحيحة. أقل من 100%؟ راجع وأعد المحاولة.
الأسئلة متاحة للاطلاع. سجّل الدخول للتفاعل وحفظ تقدمك.
لمحة عن التحدي8 أسئلة تنتظرك ＋
ما الفرق الأساسي بين ثغرة XSS المخزنة (Stored) وثغرة XSS المنعكسة (Reflected)؟
تستمر Stored XSS في قاعدة البيانات بينما تنعكس Reflected XSS من الطلب الحالي مباشرة.
ما الدالة والأعلام القياسية في PHP لترميز النصوص غير الموثوقة داخل محتوى HTML والخصائص المحاطة بعلامات تنصيص؟
تقوم هذه الدالة بترميز الرموز الخمسة الحساسة وعلامتي التنصيص بأمان في UTF-8.
متى يجب تطبيق ترميز المخرجات بدالة htmlspecialchars()؟
تُحفظ البيانات الخام في قاعدة البيانات عبر PDO وتُرمّز لحظة العرض بحسب السياق.
لماذا لا تكفي دالة htmlspecialchars($url) وحدها عند وضع رابط أدخله المستخدم داخل الخاصية href="..."؟
يجب فحص بروتوكول الرابط عبر parse_url والسماح بـ http و https فقط.
كيف تمرر مصفوفة أو نصاً من PHP بأمان إلى متغير داخل كود JavaScript؟
تحول هذه الأعلام أقواس الإغلاق وعلامات التنصيص إلى رموز Unicode آمنة.
ما الخطر الذي يمنعه رأس الاستجابة X-Content-Type-Options: nosniff؟
يجبر المتصفح على الالتزام الصارم بنوع Content-Type المعلن من الخادم.
لماذا يجب دائماً إحاطة قيم خصائص HTML بعلامات تنصيص حتى عند ترميزها بـ htmlspecialchars()؟
لا ترمز htmlspecialchars() المسافات، لذا تظل الخصائص بدون علامات تنصيص قابلة للاختراق.
أي رأس استجابة HTTP يوفر دفاعاً قوياً على مستوى المتصفح ضد XSS عبر تقييد مصادر السكريبتات المسموحة؟
تقيد سياسة Content-Security-Policy المصادر المسموح بتحميل وتشغيل السكريبتات منها.