Mostrar o nome de quem está logado em PHP sem confiar no navegador
Guarde só o id da conta na sessão, leia o nome no banco e escape na saída. Assim a barra "Olá, Ana" não vira "Olá, administrador" com um cookie editado.
Programação
399 artigos nesta categoria.
Criar pasta em PHP com mkdir sem deixar o usuário escolher o caminho
Valide o nome, monte o caminho a partir de uma raiz fixa, crie com permissão mínima e confira com realpath. Assim "../../" nunca vira uma pasta fora do projeto.
Configurar o PHP para produção: erro no log, upload e fuso sem susto
Descubra qual php.ini o servidor realmente carrega e ajuste três coisas: erros para o log, limites de upload coerentes com o servidor web e fuso horário explícito.
Compactar pasta em ZIP com PHP sem mandar o .env junto
Monte o ZIP com ZipArchive a partir de uma lista branca de extensões, gere fora da requisição e entregue por link autenticado que expira.
Copiar arquivo em PHP com copy() sem deixar o usuário escolher origem e destino
A origem sai de uma lista que o código conhece, o destino tem nome gerado por você e a cópia passa por um arquivo temporário. Assim copy() não sobrescreve nem lê o que não deve.
Favicon não aparece: caminho, servidor, cache e Google
Favicon que some em algumas páginas, fica antigo ou não sai no Google: teste com um script, corrija o caminho relativo, o fallback do SPA e o cache.
Formulário de contato que chega na caixa de entrada e não na do spammer
Monte um formulário de contato em PHP que grava antes de enviar, usa SMTP autenticado, não deixa o visitante mexer em cabeçalho e segura robôs.
Fuso horário no PHP: instante, data e agendamento
Fuso horário no PHP 8.5 testado: instante em UTC, data de calendário sem conversão, agendamento com hora local e fuso, Etc/GMT invertido e base de fusos velha.
Redirecionar URL: 301 para a busca, e nunca para um endereço que o usuário mandou
Escolha entre 301, 302, 307 e 308, configure o redirecionamento no Apache, no nginx ou no PHP, evite cadeias e valide o parâmetro de retorno para não virar porta de golpe.
Botão excluir em PHP e MySQL que apaga uma linha, não a tabela
O fluxo completo de exclusão: POST com token, id validado, DELETE com id e dono como parâmetros, conferência de linhas afetadas e exclusão lógica para poder desfazer.
If, switch ou match no PHP: como escolher antes da condição virar escada
Regras diferentes pedem if com nome. Um valor com vários casos pede match ou um array. Entenda a comparação frouxa do switch e quando o enum resolve de vez.
Login em PHP e MySQL: a senha que não pode ser lida nem por você
Monte cadastro e login com password_hash, password_verify, consulta com parâmetro, sessão regenerada e limite de tentativas, sem nunca guardar a senha legível.