通用數(shù)據(jù)保護(hù)法規(guī)（GDPR）已成為處理個(gè)人數(shù)據(jù)的組織的關(guān)鍵任務(wù)，包括使用PHP來構(gòu)建其Web應(yīng)用程序的數(shù)據(jù)。不管開發(fā)人員的位置如何，了解GDPR的範(fàn)圍和要求對(duì)於確保安全和合法的數(shù)據(jù)處理至關(guān)重要。

在此博客中，我們?yōu)镻HP Web開發(fā)人員圍繞GDPR的常見問題提供答案。然後，我們探索GDPR PHP最佳實(shí)踐，並討論需要達(dá)到GDPR標(biāo)準(zhǔn)的團(tuán)隊(duì)的解決方案。

GDPR PHP合規(guī)性：常見問題

對(duì)於使用PHP的人，了解特定的GDPR合規(guī)性要求對(duì)於確保安全和合法的數(shù)據(jù)處理至關(guān)重要。在我們針對(duì)Web開發(fā)人員解決特定的GDPR最佳實(shí)踐之前，讓我們探討一些有關(guān)GDPR，PHP和合規(guī)性標(biāo)準(zhǔn)的常見問題。

什麼是GDPR？

GDPR於2018年5月25日生效，從2021年9月開始生效。

GDPR有什麼保護(hù)？

GDPR保護(hù)個(gè)人數(shù)據(jù)和個(gè)人隱私權(quán)的幾個(gè)關(guān)鍵領(lǐng)域：個(gè)人數(shù)據(jù)保護(hù)，個(gè)人權(quán)利和特殊保護(hù)。我們將在本文稍後詳細(xì)描述它們。

如果我在歐盟外，GDPR是否適用於我的PHP Web應(yīng)用程序？

當(dāng)滿足以下條件之一時(shí)，您的PHP Web應(yīng)用程序必須符合GDPR：

• 您為歐盟公民提供商品或服務(wù)。
• 您擁有基於歐盟的用戶或客戶。
• 您的網(wǎng)站通過cookie來針對(duì)歐盟流量（如果未獲得同意，那是非法的）。

不遵守GDPR的處罰是什麼？

嚴(yán)重的經(jīng)濟(jì)罰款包括全球年收入和行政罰款的4％，以及諸如審計(jì)或禁令之類的糾正措施。不合規(guī)會(huì)損害聲譽(yù)，並導(dǎo)致刑事指控和其他執(zhí)法行動(dòng)。

PHP開發(fā)人員的GDPR最佳實(shí)踐

對(duì)於開發(fā)PHP Web應(yīng)用程序的程序員，符合GDPR涉及與數(shù)據(jù)安全和管理有關(guān)的幾個(gè)關(guān)鍵方面。要考慮的要點(diǎn)包括：

• 建立安全的基礎(chǔ)
• 數(shù)據(jù)存儲(chǔ)和處理
• 訪問控制
• 同意管理
• 訪問權(quán)和糾正權(quán)
• 數(shù)據(jù)刪除
• 數(shù)據(jù)安全
• 培訓(xùn)和意識(shí)

通過遵循這些GDPR最佳實(shí)踐，PHP開發(fā)人員可以在保護(hù)私人和敏感數(shù)據(jù)的同時(shí)保持合規(guī)性。

數(shù)據(jù)存儲(chǔ)和處理

在考慮GDPR PHP最佳實(shí)踐時(shí)，要牢記兩種類型的數(shù)據(jù)存儲(chǔ)：

• 數(shù)據(jù)加密可確保敏感信息（例如密碼和個(gè)人數(shù)據(jù)）被存儲(chǔ)在數(shù)據(jù)庫(kù)中和通過網(wǎng)絡(luò)傳輸過程中。使用HTTPS在客戶端和服務(wù)器之間進(jìn)行安全通信。
• 數(shù)據(jù)最小化僅收集必要的個(gè)人數(shù)據(jù)，並避免收集比應(yīng)用程序任務(wù)所需的更多信息。

通常，我們建議客戶最大程度地減少收集和使用的用戶數(shù)據(jù)量。重要的是要避免收集不必要的個(gè)人信息或?qū)⑵溆渺吨饕鈭D之外的目的。

此外，PHP還提供了多個(gè)庫(kù)和工具，用於加密，安全通信和數(shù)據(jù)存儲(chǔ)：

• OpenSSL為對(duì)稱和非對(duì)稱加密，哈希和SSL/TLS通信提供了強(qiáng)有力的支持。
• 鈉（libsodium）內(nèi)置在PHP 7.2及後續(xù)版本中，為加密，簽名和哈希提供了現(xiàn)代，安全的加密原語。
• PHP的密碼哈希API（例如，password_hash（））提供了安全的方法，用於哈希和驗(yàn)證密碼。
• Phpseclib為RSA，AE和其他加密操作提供了純PHP解決方案。
• GNUPG（GPG）使用公共/私鑰提供加密和數(shù)字簽名。
• JWT（JSON Web令牌）廣泛用於基於API的身份驗(yàn)證中的安全通信。
• 實(shí)施TLS/SSL（HTTPS），通過確保通信來保護(hù)運(yùn)輸中的數(shù)據(jù)。

有多個(gè)PHP框架可以幫助您完成上述任務(wù)。其中之一是Zend Framework的Laminas Framework。 Laminas Crypt組件提供了用於加密和哈希敏感數(shù)據(jù)的實(shí)用程序。下面的簡(jiǎn)化示例展示了一種僅保留密碼的方法並將其與登錄過程中的原件進(jìn)行比較的方法：

使用laminas \ crypt \ password \ bcrypt;

$ bcrypt = new bcrypt（）;
$ hashedpassword = $ bcrypt-> create（'password'）;
if（$ bcrypt-> verify（'密碼'，$ hashedpassword））{
    迴聲'密碼匹配！';
}

訪問控制

授權(quán)和身份驗(yàn)證可用於實(shí)施旨在防止未經(jīng)授權(quán)訪問個(gè)人數(shù)據(jù)的強(qiáng)大機(jī)制?？梢酝ㄟ^使用哈希和鹽來完成密碼來實(shí)現(xiàn)它們。此外，基於角色的訪問控制（RBAC）可用於為用戶定義不同的角色和權(quán)限，控制誰有訪問哪些信息。

為此，我們還可以利用現(xiàn)有的有用工具或庫(kù)。從現(xiàn)在開始，我們將主要使用Laminas框架進(jìn)行示例。 Laminas auth和ACL組件可用於實(shí)現(xiàn)安全的身份驗(yàn)證和基於角色的訪問控制。下面給出了另一個(gè)簡(jiǎn)化的示例：

使用laminas \ permissions \ acl \ acl;
使用laminas \ permissions \ acl \ recor \ genericrole作為角色；

$ acl = new acl（）;
$ acl-> addResource（'admin'）;
$ acl->允許（'guest'，null，['index']）;
$ acl->允許（'會(huì)員'，'admin'，['edit'，'delete']）;

同意管理

請(qǐng)求處理個(gè)人數(shù)據(jù)時(shí)，請(qǐng)務(wù)必顯示清晰且可理解的同意消息。這樣可以確保用戶在必要時(shí)輕鬆撤回同意。保留同意書的記錄，包括接收同意的日期和時(shí)間以及用戶標(biāo)識(shí)符。

可以使用Laminas日誌模塊進(jìn)行數(shù)據(jù)訪問和修改的全面記錄和審核。確保您沒有記錄任何敏感或私人數(shù)據(jù)，例如密碼或一個(gè)人的年齡和地址。

使用laminas \ log \ logger;
使用laminas \ log \ writer \ stream;

$ logger = new Logger（）;
$ writer = new Stream（'Path/to/your/your/log/file'）;
$ logger-> addWriter（$ writer）;
$ logger-> info（'用戶訪問的個(gè)人資料頁面。'，['user_id'=> 123]）;

如果您不使用任何PHP框架，另一個(gè)選項(xiàng)是將安全的Zendphp Runtimes與Zendhq擴(kuò)展時(shí)期使用。這種強(qiáng)大的組合使團(tuán)隊(duì)可以在維護(hù)GDPR PHP合規(guī)性標(biāo)準(zhǔn)的同時(shí)監(jiān)視，檢查，優(yōu)化，保護(hù)和擴(kuò)展PHP應(yīng)用程序。例如，只需定義自定義監(jiān)視事件以日誌同意管理工作流，zendhq將記錄和審核數(shù)據(jù)訪問和修改：

 $ userdata = new Class {
      公共字符串$ text =一些有關(guān)接收同意的數(shù)據(jù)';
   };
 zend_monitor_custom_event（'gdpr title'，'gdpr同意文本'，$ userdata，-1）; 

訪問權(quán)和糾正權(quán)

GDPR PHP合規(guī)性包括訪問權(quán)和個(gè)人數(shù)據(jù)的糾正權(quán)。數(shù)據(jù)管理接口為用戶提供了一個(gè)可以查看，編輯或刪除其個(gè)人數(shù)據(jù)的接口。此外，迅速有效地處理數(shù)據(jù)的訪問和糾正請(qǐng)求對(duì)於維持GDPR合規(guī)性很重要。

此類數(shù)據(jù)系統(tǒng)的用戶界面可能會(huì)隨著時(shí)間的推移而發(fā)展，但是在可以在受保護(hù)區(qū)域內(nèi)安全傳遞所需數(shù)據(jù)的Web API進(jìn)行投資至關(guān)重要，並且不必花費(fèi)很高或耗時(shí)即可創(chuàng)建此類API。我們建議客戶的開始是使用Laminas API工具，可以幫助他們立即創(chuàng)建所需的API接口。

數(shù)據(jù)刪除

根據(jù)GDPR，允許用戶請(qǐng)求刪除其個(gè)人數(shù)據(jù)。始終執(zhí)行“被遺忘的權(quán)利”並相應(yīng)地發(fā)展功能。例外是保留數(shù)據(jù)的法律原因。維護(hù)數(shù)據(jù)刪除過程的文檔以證明GDPR依從性。

如果實(shí)現(xiàn)了Web API，則可以允許數(shù)據(jù)所有者編輯自己的信息。有了受限的訪問，還可以授予系統(tǒng)管理員根據(jù)需要修改數(shù)據(jù)的能力。

數(shù)據(jù)安全

無論合規(guī)要求如何，始終建議遵循PHP安全性最佳實(shí)踐。定期將軟件，庫(kù)和依賴項(xiàng)更新為最新版本，以防止漏洞。實(shí)施監(jiān)視系統(tǒng)和日誌將有助於檢測(cè)並應(yīng)對(duì)潛在的安全漏洞。

您可以開發(fā)自己的工具來監(jiān)視數(shù)據(jù)流，也可以利用ZendPHP和ZendHQ等解決方案，這些解決方案旨在監(jiān)視系統(tǒng)並響應(yīng)影響其性能，安全性和完整性的事件。

培訓(xùn)和意識(shí)

培訓(xùn)您的團(tuán)隊(duì)保護(hù)個(gè)人數(shù)據(jù)的重要性，並確保他們對(duì)GDPR合規(guī)性所需的程序有充分的了解。告知您的PHP應(yīng)用程序用戶其權(quán)利以及您的應(yīng)用程序保護(hù)這些權(quán)利的步驟。

以上是GDPR PHP合規(guī)性：維護(hù)Web應(yīng)用程序的GDPR的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！