Pro PHP Security, 2nd Edition

Referencia técnica clásica escrita por Chris Snyder, Thomas Myer y Michael Southwell que examina en detalle las disciplinas de programación segura y administración defensiva para sistemas web construidos con PHP (específicamente adaptada a PHP 5.3). Está dirigida a desarrolladores y administradores de sistemas web con experiencia intermedia en entornos LAMP (Linux, Apache, MySQL, PHP) que necesitan adoptar un enfoque riguroso de seguridad integral que abarque tanto la capa de código fuente como el sistema operativo anfitrión.

El libro ofrece un temario técnico sumamente amplio: validación y saneamiento de entradas de usuario (filter_var, expresiones regulares), prevención exhaustiva de SQL Injection, mitigación de Cross-Site Scripting (XSS) e inyección de cabeceras, y prevención de ejecución remota de código e inclusiones maliciosas de archivos (LFI/RFI). También cubre la gestión protegida de archivos temporales y subidas de ficheros, blindaje contra el secuestro y fijación de sesiones, consumo e implementación segura de servicios REST, uso de CAPTCHAs contra tráfico automatizado, autenticación robusta, control de accesos y auditoría de eventos. En el plano de infraestructura, profundiza en la ejecución segura de llamadas a comandos del sistema (exec, system), uso de primitivas criptográficas, endurecimiento del sistema operativo Unix/Linux y protección de canales de comunicación con SSL y SSH.

El aprendizaje se estructura mediante explicaciones directas acompañadas de fragmentos de código reutilizables y ejercicios de securización que ilustran cómo los atacantes sondean fallas comunes en entornos web y cómo neutralizarlas eficazmente. Su mayor valor reside en su perspectiva holística, pues enseña que asegurar una aplicación PHP requiere proteger también el servidor Unix, la base de datos MySQL y la red subyacente. Su principal factor a considerar es su fecha de publicación (2010), por lo que ciertas funciones nativas de base de datos o algoritmos de hashing que menciona han sido deprecados en favor de las características de PHP 7 y 8; aun así, los fundamentos de seguridad, defensa en profundidad y sanitización que inculca son principios universales y atemporales.