Beskyttelse mod XXS, CSRF m.m. i 2017 [PHP 7+]

XXS/XSS....

Det er jo et meget bredt spoergsmaal.

Jeg vil anbefale et forsvar i dybden.

1) convenience (som ikke er securityr, men netop kun convenience)

Lav noget client side JavaScript som checker om input er valid og informerer bruger hvis det ikke er - uden at ramme server side.

2) security on input

Check alt input.

Og helst med whitelisting ikke blacklisting.

Altsaa ikke:

if data has bad stuff 1 or data has bad stuff 2 then
    reject
else
    accept
end if

men:

if data is good then
    accept
else
    reject
end if

(saa regex paa hvad der er OK - ikke regex paa hvad der ikke er OK)

3) real data model.

Brug en rigtig data model med klasser med attributter i.s.f. bare at have nogle CLOB's.

Det vil udover at give bedre kode ogsaa som sideeffekt filtrere noget snavs fra i tilfaelde af at noget er kommet igennem #2.

4) security on output

Escape output for at forhindre malicious data.

Bare i tilfaelde af at noget slipper igennem #2 og #3.

Jeg havde håbet på lidt mere input, evt. mere specifikke ting omkring PHP7 og 2017. Eller er alt som i 2015 og PHP 5?

Jeg synes ikke lige at noget her:

http://php.net/manual/en/migration70.new-features.php

springer i oejnene.