Web Güvenliği: XSS ve CSRF Saldırılarından Korunma

Derse Hazır mısınız?

Satır satır kod yazılışını izleyin ve her satırın açıklamasını dinleyin.

Terminal Çıktısı Hazır

Kod çalıştırıldığında çıktı burada görünecek...

Web Önizleme

HTML çıktı oluştuğunda önizleme burada açılır.

Satır Satır Anlatım

Dersin öğretmen rehberi

Web Güvenliği: XSS ve CSRF Saldırılarından Korunma dersinde isteğin veya verinin backend içinde hangi adımlardan geçtiğini, her kod parçasının görevini ve gözlenebilir çıktıyı birlikte inceleyeceğiz.

Bu dersin hedefleri

Ders başlığındaki backend kavramını çalışan kodun girdisi ve çıktısıyla ilişkilendirmek.
Bir satırın önceki adımdan aldığı veriyi ve sonraki adıma hazırladığı sonucu takip etmek.
Hata ayıklama, test ve temel güvenlik kontrollerini akışın doğal parçası olarak uygulamak.

Web Güvenliği: XSS ve CSRF Saldırılarından Korunma beginner 25 dk çalışma

Bu dersin ana sorusu: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma konusunu çalışan bir backend örneği üzerinden anlamak.

Öğrenme özeti: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma dersinin temel fikri, backend kodunu yalnızca çalıştırmak değil; girdinin nasıl işlendiğini, neden o sıranın seçildiğini ve sonucun nasıl doğrulandığını görebilmektir.

Öğrenme rotası ve transfer görevi

Problemi tanı: Backend örneğinin girdisini, görevini ve beklenen çıktısını bir cümleyle yazın.
Akışı izle: Kodun veriyi hangi sırayla aldığını, dönüştürdüğünü ve döndürdüğünü satır satır takip edin.
Güvenli değiştir: Küçük bir değişiklik yapın; normal, hatalı ve sınır girdilerle sonucu test edin.

Kendin dene: Örneğin ana akışını bozmadan yeni bir girdi alanı veya hata senaryosu ekleyin. Değişen satırları, beklenen sonucu ve güvenlik kontrolünü yazılı olarak açıklayın.

Kavram sözlüğü ve sık karıştırılanlar

Request: İstemcinin backend sunucusundan bir işlem veya veri istediği iletişimdir.
Response: Backendin isteğe karşı döndürdüğü durum, başlık ve veri sonucudur.
Validation: Girdinin beklenen türde, biçimde ve iş kuralına uygun olup olmadığını kontrol etmektir.
Log: Çalışma sırasında ne olduğunu izlemek için kaydedilen tanı bilgisidir.

Sık karıştırılanlar: Backend kodu yalnızca ekrana çıktı basmaz; veri alır, iş kuralı uygular, hata yönetir ve istemciyle sözleşme kurar. 200 veya başarılı görünen bir yanıt, iş kuralının doğru uygulandığını tek başına kanıtlamaz.

Nasıl çalışacağız: Önce backend örneğinin hangi girdiyi aldığını belirleyin. Sonra kodun veriyi hangi sırayla işlediğini, hangi noktada karar verdiğini ve istemciye/terminale ne döndürdüğünü satır satır takip edin.

Hata ayıklama: Hatayı yeniden üretin; istek girdisini, logu, dosya-satır bilgisini ve beklenen çıktıyı kaydedin. Akışı küçük parçalara ayırıp tek değişiklikle tekrar deneyin.

Test yaklaşımı: Normal verinin yanında boş, hatalı biçimli, sınır ve yetkisiz girdileri de deneyin. Hem status/çıktıyı hem de veri değişikliğini doğrulayın.

Güvenlik: Kullanıcı girdisini doğrulayın, parametreli sorgu kullanın, kimlik doğrulama ve yetkilendirmeyi ayırın; parola, token ve kişisel verileri koda veya loga yazmayın.

Sürdürülebilirlik: İş kurallarını controller, servis ve veri erişimi gibi sorumluluklara ayırın; anlamlı isimler, küçük fonksiyonlar, ortak hata yanıtı ve test edilebilir sınırlar kullanın.

Ders özeti: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma konusunu; girdi, backend işlemi, veri akışı, hata durumu, güvenlik kontrolü ve çıktı arasındaki ilişkiyle kendi cümlelerinizle açıklayın.

session_start ( ) ;

session — Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır.

Öğretmen açıklaması

Bu adımı hiç bilmeyen biri için okuyalım: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: session_start();: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

Önce Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı parçasının hangi girdiyi aldığını ve Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki görevini söyleyin.
Sonra sözdizimini parçalara ayırın; hangi anahtar kelime, değişken veya parametrenin neyi belirlediğini gösterin.
Çalışma zamanında verinin bu satırdan önceki ve sonraki halini karşılaştırın; terminal/response sonucunu kontrol edin.
Aynı fikri boş, hatalı veya farklı bir değerle deneyin; hata oluşursa mesajı okuyup tek değişiklikle yeniden test edin.

Yaygın hata: Bu adımda en yaygın hata, Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı parçasını Web Güvenliği: XSS ve CSRF Saldırılarından Korunma bağlamından koparıp yalnızca ezberlemektir. Önce girdiyi doğrulayın, sonra beklenen çıktıyı küçük bir testle karşılaştırın.

Şimdi sen dene: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı üzerinde küçük bir değişiklik yapın; sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması akışında hangi çıktının değişmesini beklediğinizi yazın, sonra normal ve hatalı bir girdiye karşı çalıştırın.

İşaretlerin anlamı

; İfadenin bittiğini bildirir.

Bu satırı hiç bilmeyen biri için parçalayalım

Satırın görevi: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırının backend görevi

Kavram: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma

Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırını yalnızca sözdizimiyle değil, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içindeki göreviyle okuyun.

Blok kapsamı: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırının bulunduğu backend akışındaki kapsamı ve sonraki adıma taşıdığı sonucu belirler.

Neden şimdi: Bu parça, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması akışında sonraki adımın ihtiyaç duyduğu girdiyi hazırlamak için şimdi kuruluyor.

Kod etiketlerini tek tek incele

session_start(); kod parçası

Ne yapar? Bu satır backend akışının bir parçasını yürütür.

Neden burada? Önceki girdiyi sonraki adıma taşımak için bu konumda bulunur.

Silinirse: İlgili ara sonuç veya çıktı oluşmaz.

Amaç Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir.

Nasıl Çalışır backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir.

Sözdizimi Detayı İlgili PHP 8 standart sözdizimi yapısı.

Akış Şeması (Flowchart)

AST (Abstract Syntax Tree)

{
    "type": "ExpressionStatement",
    "expression": "Session başlatır."
}

Değişiklikler (Diff)

+ Eklendi:
+ session_start();

Akıllı İpuçları (Adaptive Hints)

Tetikleyici: SyntaxError
Noktalı virgülü veya parantezleri kontrol edin.

İpucu Kodun okunabilir ve sürdürülebilir olması için standart isimlendirme ve yapılandırma kurallarına uyun.

Yaygın Hata Girdiyi doğrulamadan bu satırın ürettiği sonucu doğru kabul etmek.

Ek Açıklama Session başlatır.

$token = bin2hex ( random_bytes ( 32 ) ) ;

random_bytes — Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır.

Öğretmen açıklaması

Bu adımı hiç bilmeyen biri için okuyalım: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: $token = bin2hex(random_bytes(32));: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

Önce Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı parçasının hangi girdiyi aldığını ve Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki görevini söyleyin.
Sonra sözdizimini parçalara ayırın; hangi anahtar kelime, değişken veya parametrenin neyi belirlediğini gösterin.
Çalışma zamanında verinin bu satırdan önceki ve sonraki halini karşılaştırın; terminal/response sonucunu kontrol edin.
Aynı fikri boş, hatalı veya farklı bir değerle deneyin; hata oluşursa mesajı okuyup tek değişiklikle yeniden test edin.

Zihinsel model ve benzetme

Zihninde canlandır: Bellekte bir değer isimlendi; sonraki satırlar bu isimle ona ulaşacak.

Günlük hayattan: $ ile başlayan isim, etiketli bir kutudur: etiketten kutuya erişirsin.

İşaretlerin anlamı

$ PHP değişkenlerini $ önekiyle tanır.

= Sağdaki değeri soldaki isme bağlar; karşılaştırma == / === ile yapılır.

; İfadenin bittiğini bildirir.

Başka nasıl çözülürdü?

Tür ipucu/varsayılan değer eklemek (örn. function x(string $a = '')) çağrı hatalarını derleme anında yakalar.

Bu satırı hiç bilmeyen biri için parçalayalım

Satırın görevi: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırının backend görevi

Kavram: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma

Kod etiketlerini tek tek incele

$token = bin2hex(random_bytes(32)); kod parçası

Ne yapar? Bu satır backend akışının bir parçasını yürütür.

Neden burada? Önceki girdiyi sonraki adıma taşımak için bu konumda bulunur.

Silinirse: İlgili ara sonuç veya çıktı oluşmaz.

Sözdizimi Detayı $degiskenAdi = deger; Değşişşken isimleri $ ile başşlar, rakamla başşlayamaz ve boşşluk içeremez.

Bellek Durumu (Variables)

Değişken	Tip	Değer	Adres	Ref
$token	mixed	bin2hex(random_bytes(32))	x5d8e	1

Akış Şeması (Flowchart)

AST (Abstract Syntax Tree)

{
    "type": "ExpressionStatement",
    "expression": "Kriptografik güvenli rastgele byte üretir."
}

Değişiklikler (Diff)

+ Eklendi:
+ $token = bin2hex(random_bytes(32));

Akıllı İpuçları (Adaptive Hints)

Tetikleyici: SyntaxError
Noktalı virgülü veya parantezleri kontrol edin.

İpucu Değşişşken isimlerinin açıklayıcı olmasına özen gösterin. Türkçe karakter kullanımından kaçının.

Yaygın Hata Girdiyi doğrulamadan bu satırın ürettiği sonucu doğru kabul etmek.

Ek Açıklama Kriptografik güvenli CSRF token üretiyoruz.

$_SESSION [ "csrf_token" ] = $token ;

$_SESSION — Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır.

Öğretmen açıklaması

Bu adımı hiç bilmeyen biri için okuyalım: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: $_SESSION["csrf_token"] = $token;: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

Önce Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı parçasının hangi girdiyi aldığını ve Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki görevini söyleyin.
Sonra sözdizimini parçalara ayırın; hangi anahtar kelime, değişken veya parametrenin neyi belirlediğini gösterin.
Çalışma zamanında verinin bu satırdan önceki ve sonraki halini karşılaştırın; terminal/response sonucunu kontrol edin.
Aynı fikri boş, hatalı veya farklı bir değerle deneyin; hata oluşursa mesajı okuyup tek değişiklikle yeniden test edin.

Zihinsel model ve benzetme

Günlük hayattan: $ ile başlayan isim, etiketli bir kutudur: etiketten kutuya erişirsin.

İşaretlerin anlamı

$ PHP değişkenlerini $ önekiyle tanır.

= Sağdaki değeri soldaki isme bağlar; karşılaştırma == / === ile yapılır.

; İfadenin bittiğini bildirir.

Sık yapılan hata

Satır sonu noktalı virgül (;) unutulur

Belirti: Parse error: syntax error, unexpected ... — dosya hiç çalışmaz.

Neden: PHP her ifadeyi ; ile bitirir.

Çözüm: Hata mesajındaki satır çoğu zaman bir önceki satırı işaret eder; oraya bak.

Bu satırı hiç bilmeyen biri için parçalayalım

Satırın görevi: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırının backend görevi

Kavram: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma

Kod etiketlerini tek tek incele

$_SESSION["csrf_token"] = $token; kod parçası

Ne yapar? Bu satır backend akışının bir parçasını yürütür.

Neden burada? Önceki girdiyi sonraki adıma taşımak için bu konumda bulunur.

Silinirse: İlgili ara sonuç veya çıktı oluşmaz.

Sözdizimi Detayı İlgili PHP 8 standart sözdizimi yapısı.

Akış Şeması (Flowchart)

AST (Abstract Syntax Tree)

{
    "type": "ExpressionStatement",
    "expression": "Token'ı session'a kaydeder."
}

Değişiklikler (Diff)

+ Eklendi:
+ $_SESSION["csrf_token"] = $token;

Akıllı İpuçları (Adaptive Hints)

Tetikleyici: SyntaxError
Noktalı virgülü veya parantezleri kontrol edin.

İpucu Kodun okunabilir ve sürdürülebilir olması için standart isimlendirme ve yapılandırma kurallarına uyun.

Yaygın Hata Girdiyi doğrulamadan bu satırın ürettiği sonucu doğru kabul etmek.

Ek Açıklama Token'ı session'a kaydeder.

< input type = "hidden" name = "token" value = "<?= $token ?>" / >

HTML — Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır.

Öğretmen açıklaması

Bu adımı hiç bilmeyen biri için okuyalım: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: <input type="hidden" name="token" value="<?= $token ?>"/>: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

Önce Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı parçasının hangi girdiyi aldığını ve Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki görevini söyleyin.
Sonra sözdizimini parçalara ayırın; hangi anahtar kelime, değişken veya parametrenin neyi belirlediğini gösterin.
Çalışma zamanında verinin bu satırdan önceki ve sonraki halini karşılaştırın; terminal/response sonucunu kontrol edin.
Aynı fikri boş, hatalı veya farklı bir değerle deneyin; hata oluşursa mesajı okuyup tek değişiklikle yeniden test edin.

Zihinsel model ve benzetme

Günlük hayattan: $ ile başlayan isim, etiketli bir kutudur: etiketten kutuya erişirsin.

İşaretlerin anlamı

$ PHP değişkenlerini $ önekiyle tanır.

= Sağdaki değeri soldaki isme bağlar; karşılaştırma == / === ile yapılır.

Sık yapılan hata

Satır sonu noktalı virgül (;) unutulur

Belirti: Parse error: syntax error, unexpected ... — dosya hiç çalışmaz.

Neden: PHP her ifadeyi ; ile bitirir.

Çözüm: Hata mesajındaki satır çoğu zaman bir önceki satırı işaret eder; oraya bak.

Bu satırı hiç bilmeyen biri için parçalayalım

Satırın görevi: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma içindeki bu kod satırı satırının backend görevi

Kavram: Web Güvenliği: XSS ve CSRF Saldırılarından Korunma

Kod etiketlerini tek tek incele

<input type="hidden" name="token" value="<?= $token ?>"/> kod parçası

Ne yapar? Bu satır backend akışının bir parçasını yürütür.

Neden burada? Önceki girdiyi sonraki adıma taşımak için bu konumda bulunur.

Silinirse: İlgili ara sonuç veya çıktı oluşmaz.

Sözdizimi Detayı HTML karma projelerinde kullanımı zorunludur. Saf PHP dosyalarında kullanılmamalıdır.

Akış Şeması (Flowchart)

AST (Abstract Syntax Tree)

{
    "type": "ExpressionStatement",
    "expression": "Token'ı form içine gizli input olarak ekler."
}

Değişiklikler (Diff)

+ Eklendi:
+ <input type="hidden" name="token" value="<?= $token ?>"/>

Akıllı İpuçları (Adaptive Hints)

Tetikleyici: SyntaxError
Noktalı virgülü veya parantezleri kontrol edin.

İpucu Dosya sonunda gereksiz kapatma tagı koymayarak çıktıya sızabilecek gizli boş satırları engelleyin.

Yaygın Hata Girdiyi doğrulamadan bu satırın ürettiği sonucu doğru kabul etmek.

Ek Açıklama Formun içine gizli CSRF token input'u yerleştiriyoruz.

Derse Hazır mısınız?

Seslendirme Ayarları