Безопасное использование информации от пользователя

Целый день читал статьи про XSS, инъекции, htmlspecialchars, addslashes… И, в конце концов, запутался окончательно.

Задача стоит такая: на странице 1.phpпосетитель вводит данные в форму (без перезагрузки, с подсчетом количества введенных знаков), и эти данные записываются в базу. При следующем посещении страницы посетитель видит в форме ранее введенную им информацию и может её изменить.

Кроме того, полученная от пользователя информация подвергается логической обработке – дезактивируются ссылки и вставляются шорт-коды. Возможно, будет делаться что-то ещё – этот этап пока в разработке.
И эта инфа видна на странице 2.php.


Чтобы разобраться, как это работает, я сделал макет, в котором вместо базы инфа записывается в текстовые файлы. Вот их коды:

Файл 1.php:

HTML:

1. <script src="/js/jquery-3.6.4.min.js"></script>
2.  
3.   <!-- Подсчет оставшихся знаков -->
4.  
5. <script>
6. function checklength(t){
7.   var ml = $(t).attr('maxlength');
8.   var diff = ml - $(t).val().length;
9.   var ad = $(t).nextAll('div:first');
10.   if (diff==ml){
11.   ad.html('&nbsp;').css('color','green');
12.   }
13.   else if(diff>10){
14.   ad.text('Осталось знаков: '+diff).css('color','green');
15.   }
16.   else{
17.   ad.text('Осталось знаков: '+diff+'!').css('color','red');
18.   }
19. }
20. </script>
21.  
22. <?php
23. $busedu = @file_get_contents('storage.txt');
24.  
25. // Замена сущностей на HTML
26. $busedu = html_entity_decode($busedu, ENT_QUOTES, 'UTF-8')
27. ?>
28.  
29. <div id="busedu">
30.   <textarea name="busedu" maxlength="500" onkeyup="checklength(this);" ><?php echo $busedu; ?></textarea>
31.   <div class="znak">&nbsp;</div>
32.   <div class="maxznak"><p style="text-align:center; margin: 0;">Max 500</p></div>
33. </div>
34.  
35.   <input type="hidden" name="id-form" value="busedu-f">
36.   <input class="pusk" style="display:block;" type="submit" name="submit" value="Отправить">
37. </form>
38.  
39. <div id="busedu-fs"></div>
40.  
41. <script>
42. $(document).ready(function () {
43.   $('.group_b').submit(function () {
44.  
45.   // Получение ID формы
46.   var formID = $(this).attr('id');
47.  
48.   // Добавление решётки к имени ID
49.   var formNm = $('#' + formID);
50.   var formNms = $('#' + formID + 's');
51.  
52.   $.ajax({
53.   type: "POST",
54.   url: '/send.php',
55.   data: formNm.serialize(),
56.   beforeSend: function () {
57.  
58.   // Вывод текста в процессе отправки
59.   $(formNms).html('<p style="text-align:center">Отправка...</p>');
60.   },
61.   success: function (data) {
62.   // Вывод текста результата отправки
63.    $(formNms).html('<p style="text-align:center">'+data+'</p>');
64.   },
65.   error: function (jqXHR, text, error) {
66.   // Вывод текста ошибки отправки
67.   $(formNms).html(error);
68.   }
69.   });
70.    return false;
71.   });
72. });
73. </script>

Файл send.php

PHP:

1. if ($_POST['id-form'] == "busedu-f")
2.   {
3.   // Замена HTML сущностями
4.   $busedu = htmlentities($_POST['busedu'], ENT_QUOTES, 'UTF-8');
5.  
6.   if (strlen($busedu) > 0)
7.   {
8.   file_put_contents('storage.txt', $busedu);
9.   echo "Принято";
10.   }
11.   else
12.   {
13.   file_put_contents('storage.txt', "");
14.   echo "Данные не введены или удалены";
15.   }
16.  
17.   /* Здесь какая-то обработка на уровне РНР, включая регулярку,
18. в результате которой удаляются ссылки и вставляются шорт-коды,
19. и из переменной $busedu формируется переменная $control
20.   */
21.  
22.   file_put_contents(control.txt', $control);
23.  }

Файл 2.php

PHP:

1. $control = @file_get_contents(control.txt');
2. echo $control;

Здесь вместо базы используется запись в файлы, в реальном коде будет запись в базу. Тем не менее, как мне кажется, экранировать (использовать addslashes) нет нужды, поскольку кавычки заменены их сущностями.

Правильно ли здесь сделана защита от хакеров?
Или надо сделать что-то иначе?

 

Вот такой тезис я понять не могу.

Я делаю сайт и мне нужно, чтобы им могли пользоваться, и при этом сайт сохранял свою работоспособность. То есть, чтобы хакеры не имели возможности вывести его из строя или украсть персональные данные зарегистрированных лиц.

Как мне кажется, такая задача стоит перед любым разработчиком. Почему для Вас это «сферический конь в вакууме»?

Не могли бы Вы пояснить Вашу мысль или сформулировать её иначе? Какая ещё может быть задача?

 

Так я же написал, как будет использоваться результат ввода. Специально всё подробно описал.

Что еще тут нужно добавить?