اختبار المستوى 2 — PHP

الاختبار — أسئلة جديدة

12 سؤالا جديدا : تذكر (25 %) + تطبيق (50 %) + تحكيم (25 %) حول PHP والويب.
أجب عن جميع الأسئلة ثم اضغط تصحيح: ستظهر نتيجتك والتوضيحات.

2.1 · تذكر

1. ماذا تحوي $_GET و$_POST ؟

ملفات الخادم سجلات أخطاء PHP البيانات المرسلة بـ GET (الرابط) وبـ POST (الجسم) والمسترجعة على الخادم تفضيلات المتصفح

GET : البيانات في الرابط ؛ وPOST : البيانات في الجسم — تُقرأ عبر المتغيرات العامة.

2.1 · تطبيق

2. رياد يعرض الاسم المدخل في نموذجه. أي سطر آمن ؟

echo stripslashes($_POST['nom']); echo '' . $_POST['nom'] . ''; echo $_POST['nom']; echo htmlspecialchars($_POST['nom'] ?? '', ENT_QUOTES, 'UTF-8');

htmlspecialchars يحيد HTML/جافاسكربت المحقون : فيبقى العرض نصا.

2.1 · تحكيم

3. زميل يؤكد أن تحقق جافاسكربت يكفي ويريد حذف تحكم PHP. حكم رياد ؟

يُرفَض : العميل قابل للالتفاف، وحده تحقق الخادم يحمي يُستبدَل بلقطات شاشة للنموذج يُقبَل : جافاسكربت يغطي كل الحالات يُقبَل للنماذج الصغيرة فقط

جافاسكربت معطل أو كود معدل أو طلب مُلفَّق : العميل لا يحمي أبدا.

2.2 · تذكر

4. ما الفرق بين الكوكي والجلسة ؟

الكوكي يتطلب قاعدة بيانات والجلسة لا الكوكي يخزن البيانات على العميل (قابلة للتعديل) والجلسة على الخادم (آمنة) لا فرق، اسمان للشيء نفسه الجلسة تنتهي فورا والكوكي أبدا

بيانات الثقة في جلسة (الخادم) ؛ والتفضيلات غير الحساسة في كوكي.

2.2 · تطبيق

5. رياد يبرمج دخول الأعضاء. أي تسلسل صحيح ؟

وضع المعرف في كوكي قابل للتعديل المقارنة بـ md5 دون جلسة تخزين كلمة المرور واضحة ثم مقارنة السلاسل password_verify على المجزأة ثم session_regenerate_id ثم $_SESSION['user_id']

التحقق على المجزأة، والمعرف مُجدَّد ضد التثبيت، والهوية على الخادم.

2.2 · تحكيم

6. عضو غيَّر المعرف في الرابط فرأى بيانات عضو آخر. أي قاعدة غابت ؟

الترخيص : التحقق من الحَق في هذا المورد لا من الاتصال فحسب لا شيء، فهو استعمال عادي كوكي إضافي خط أكبر

المتصل لا يعني المرخَّص : كل مورد يراقب وصوله.

2.3 · تطبيق

7. رياد ينظم قائمته المكررة في عشر صفحات. ماذا يفعل ؟

يحذف القائمة من الموقع ينشئ header.php مرة ويُضمِّنه بـ require في كل صفحة يُضمِّن include $_GET['page'] دون مراقبة ينسخ القائمة مرة حادية عشرة للأمان

اكتب مرة وضمِّن في كل مكان : تعديل في مكان واحد.

2.3 · تطبيق

8. رياد يستلم صورة فعالية عبر $_FILES. أي ممارسة صحيحة ؟

التخزين في مجلد يُنفَّذ فيه PHP للمعاينة الثقة بالامتداد المعلن التحقق من النوع الحقيقي والحجم وإعادة التسمية والتخزين دون تنفيذ PHP الاحتفاظ بالاسم الأصلي وعرضه فورا

الرفع = مدخل معادٍ : النوع الحقيقي وإعادة التسمية والتخزين دون تنفيذ.

2.3 · تحكيم

9. زميل يقترح include $_GET['page'] لتحميل الصفحات ديناميكيا. الحكم ؟

يُستبدَل بمزيد من النسخ واللصق يُقبَل : فهي الطريقة الموصى بها يُقبَل مع مظهر جميل يُرفَض : تضمين ملف تعسفي — لا تُضمِّن مسار مستخدم دون مراقبة صارمة

مسار مستخدم مُضمَّن دون مراقبة يترك المهاجم يحمل ملفات تعسفية.

2.4 · تذكر

10. كيف أخزن تاريخا وأعرضه بشكل صحيح ؟

التخزين بصيغة ISO (AAAA-MM-JJ) والتنسيق عند العرض فحسب تخزين 25/07/2026 وعرضه كما هو تخزين اسم اليوم بالحروف لا تخزن التواريخ أبدا

ISO : قابل للترتيب وغير ملتبس ومعياري في القاعدة ؛ والصيغة المحلية للعرض فحسب.

2.4 · تطبيق

11. يجب على رياد التحقق من بريد عضو جديد. ماذا يختار ؟

لا تحقق، فالحقل اختياري filter_var($email, FILTER_VALIDATE_EMAIL) — أكثر موثوقية تعبير مصنوع منسوخ دون اختبار مراقبة الطول فحسب

الحالة الشائعة = مرشح مُجرَّب ؛ والتعبير محفوظ لأنماط العمل الخاصة.

2.4 · تطبيق

12. يجب أن تُرسَل النشرة إلى 500 عضو. أي حل ؟

بيانات مستخدم محقونة في الترويسات الدالة mail() الأساسية في حلقة مكتبة مخصصة (PHPMailer وSymfony Mailer) بـ SMTP مُصادَق رسائل مكتوبة يدويا واحدة واحدة

المكتبة المخصصة : المصادقة والمرفقات وقابلية التوصيل — والترويسات مُحكَمة.

وماذا بعد؟

النتيجة 80 % فأكثر : انتقل إلى المستوى 3 — قواعد البيانات (PDO والاستعلامات المُحضَّرة) والبرمجة الكائنية، على أسس الويب المكتسبة هنا.
النتيجة 60-79 % : أعد الأقسام الراسبة (2.1 تحقق الخادم و2.2 الجلسات و2.3 التضمينات/الرفع و2.4 DateTime/filter_var) وأعد تحديات 48 ساعة.
النتيجة أقل من 60 % : أعد بناء مشروع رياد خطوة بخطوة (نموذج متحقق ودخول بجلسة وموقع منظم وتواريخ ورسائل)، ثم أعد الاختبار.
في كل الحالات : حافظ على منعكسات الويب — لا تثق أبدا بالمدخلات، وhtmlspecialchars قبل العرض، وكلمات المرور مُجزَّأة، والرفع يُعامَل كمعادٍ.