Negli ultimi tempi PHP non è stato famoso per essere sicuro, vuoi per le varie polemiche sull´implementazione del linguaggio in sé, vuoi per i numerosi script scritti con poca attenzione.
Se siamo troppo pigri per validare ogni campo, o anche se vogliamo avere qualche strumento utile in più, ci viene in soccorso Suhosin, letteralmente (in coreano) angelo custode.
Tramite una patch, e un´estensione a PHP, Suhosin fornisce una protezione contro i buffer overflow, nonché la cifratura dei file di sessione, e dei cookie, e il controllo dei file caricati. Il tutto funziona indipendentemente dalle applicazioni web utilizzate ed è pienamente compatibile con PHP5.
Tutto questo, ovviamente, ha un prezzo: PHP va ricompilato a mano per poter applicare la patch e le prestazioni subiscono un degrado, comunque non superiore al 9%.
Per approfondire potete leggere l´articolo di html.it sull´argomento, oppure fare riferimento direttamente al sito di Suhosin.
Colgo l´occasione per segnalare anche Pixy, un quasi sconosciuto ma interessante progetto per testare il proprio codice PHP alla ricerca di vulnerabilità XSS (Cross Side Scripting) e SQL Injection, utile per avere una visione più attiva dei propri script.