1

De fato, é muito comum vermos todo o código HTML escapado dentro das tags PHP.

"Para impressão de grandes blocos de texto, sair do modo de interpretação do PHP é geralmente mais eficiente que enviar todo o texto através das funções echo ou print." Escapando o HTML

Deixando de lado o trabalho de escapar todo o código HTML e o custo de processamento (já que vai chamar o interpretador PHP para exibir o HTML), como fica a questão da segurança?

Veja o seguinte:

Código HTML fora das tags do PHP:

<?php
    if( $a == $b ) { ?>
        <!-- CÓDIGO HTML -->
<?php
    }
?>

Código HTML dentro das tags do PHP, exibido com echo:

<?php
    if( $a == $b ) {
        echo "<!-- CÓDIGO HTML -->";
    }
?>

Corre algum risco do interpretador do PHP parar de funcionar inesperadamente e o código fora das tags do PHP serem expostas ao usuário, mesmo que seja pelo código fonte (via navegador)?

1
  • 1
    Se o interpretador do PHP parar de funcionar ele irá expor todo o código PHP para o cliente, inclusive por essa razão é recomendado manter códigos como os de configurações (e que contenham senhas/chaves) em locais não acessíveis ao público. Enfim, se o interpretador parar de funcionar ter echo ou não é o de menos, se ele parar ele irá entregar para o usuário echo "qualquer coisa"como um texto, igual a quando você abre um PHP num bloco de notas.
    – Inkeliz
    21/04/2017 às 20:23

1 Resposta 1

2

Sendo sincero, nenhum dos dois é uma boa prática.

Ambos fazem basicamente a mesma coisa, o ganho de performance não é tão grande que justifique isto.

Mas o ideal é não usar esse tipo de abordagem... Se você quer criar uma página dinâmica, use uma API que retorne os dados que você precisa e faça via Javascript.

Mas respondendo sua pergunta, o único meio seria se o apache parasse de funcionar, mas ai sua página não seria nem servida via web.

Mas, se em algum momento apenas o compilador aparecesse, seu código fonte iria sim ser mostrado ao usuário final.

Edição: Adicionando um novo conteúdo


Em questão de segurança de back-end, além do fato de que renderizar a página e enviar ela baseando em templates http não é seguro, você vai precisar se manter atento a algumas coisas que podem de fato impactar seu site se o seu compilador parar de funcionar.

Primeiro: Segurança de ambiente


Nunca, jamais, em nenhuma hipótese deixe usuários, senhas e hosts de bancos de dados hardcoded na aplicação, em suma, não defina uma constante, ou qualquer coisa que seja visível dentro do seu código fonte que mostre como acessar suas bases de dados.

Em troca, faça um arquivo env.ini (ou .env.ini ou como você desejar chama-lo) e leia as configurações deste arquivo. O modelo .ini é um padrão bastante antigo e aceito na comunidade que pode ser parseado pelo php nativamente e transformado em um array se você seguir a sintaxe correta:

[database]
user=seuuser
senha=suasenha
host=seuhost

Veja mais sobre arquivos ini nos links abaixo:

E como abrir e parsear pelo PHP:

Segundo: Segurança de código fonte


É muito improvável que o compilador do PHP pare de funcionar do nada e o servidor web (IIS, apache ou nginx) continue funcionando, porque ambos estão muito conectados um com o outro e, no final das contas, o compilador do PHP é só um programa que é executado sobre um arquivo que faz com que ele seja modificado. Para isso os webservers realizam a etapa de executar o compilador sobre cada arquivo que é servido, por isso eu disse que é muito difícil seu código fonte aparecer para o usuário final (em 7 anos de experiência com PHP, isso nunca aconteceu comigo pelo menos), mas como sempre temos a possibilidade daquele 1% existem algumas práticas:

  • Seu código fonte não deve expor toda a lógica em um único arquivo:
    • Códigos monolíticos tendem a ser muito mais fáceis de serem decifrados se lidos em sequencia, então tente quebrar em vários componentes, pois se um deles aparecer na tela, o usuário não vai descobrir como os demais se comportam
  • Evite quaisquer tipos de informações sigilosas ou sensíveis diretamente no código fonte
    • Como eu disse antes, isso não se aplica apenas a senhas e informações de bancos de dados, remova todo o dado sensível e armazene em arquivos fora do alcance do próprio webserver

Conclusão

Eu não usaria a renderização deste modelo, mas se não é uma opção removê-la, acredito que você estaria sujeito a exibição do código fonte em situações muito raras, mas ainda sim possíveis, o que é possível fazer é basicamente tomar providências para isto não ser um problema.

Seu código fonte não deve ser a descrição completa do seu produto, mas sim partes independentes das lógicas totais do que ele deve fazer, de forma que uma pessoa precisaria juntar todas essas partes para conter algo coeso e que realmente faça sentido.

4
  • Então, como mencionado *"Deixando de lado o trabalho de escapar todo o código HTML e o custo de processamento (já que vai chamar o interpretador PHP para exibir o HTML), como fica a questão da segurança?" *, a minha preocupação é com a segurança. Não seria nada bacana o servidor entregar meu código fonte (PHP) de mãos beijadas para o usuário. Principalmente se esse código fonte incluir a conexão com o banco de dados. Já imaginou? Aliás, uso IIS do Windows Server 2008 R2 rodando o módulo CGI do PHP.
    – LipESprY
    22/04/2017 às 14:44
  • 1
    Mas ai que está a segurança, se o seu compilador parar de funcionar ele vai entregar seu código fonte para o usuário. Para você não ter esse problema da conexão do banco de dados, as boas práticas de segurança pedem que você leia um arquivo de configuração local (não acessivel), eu vou editar a resposta melhor 22/04/2017 às 16:45
  • @LipESprY veja se isto satisfaz a maioria do seu problema 22/04/2017 às 17:01
  • 1
    Seguindo sua ideia do Arquivo INI, criei uma variável de ambiente no próprio manipulador FastCGI com o caminho do meu arquivo de configuração dentro do servidor, deixando-o totalmente separado dos arquivos do site. Já no PHP, acesso essa variável com $_SERVER['ARQUIVO_CONFIGURACAO'] e importo com $conf = parse_ini_file( $_SERVER['ARQUIVO_CONFIGURACAO'], 1 );. Obrigado pelo apoio, @KhaosDoctor!
    – LipESprY
    22/04/2017 às 18:56

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .