Devo controllare / testare il mio codice in anticipo, o questi strumenti mi informano quando viene effettuato un tentativo in tempo reale? In secondo luogo, quale dovrei scegliere - Suhosin o Spike o PHPIDS o una combinazione? Quali sono le differenze tra loro?
Spike è uno strumento di analisi statica e dovresti eseguirlo sul tuo codice prima di distribuirlo sul tuo server. Cercherà di evidenziare qualsiasi potenziale errore di programmazione che sarà necessario adottare per risolvere.
Suhosin e PHPIDS avviserà quando un attacco / evento viene rilevato in tempo reale.
Suhosin, nella mia esperienza, si occupa più della protezione del tempo di esecuzione piuttosto che dell'avviso di potenziali attacchi. Tuttavia avviserà su eventi come script che tentano di aumentare i limiti di memoria e altre azioni simili.
Non ho mai distribuito PHPIDS personalmente, ma osservando le funzionalità che fornisce potresti prendere in considerazione anche Apache mod_security . Con mod_security rileverà eventi come SQL Injection e, a seconda della configurazione, può essere registrato, bloccato, loggato e amp; bloccato, o qualche altra azione può essere presa.
Leggi altre domande sui tag php web-application appsec