FanatPHP

Рецензия

Но ты читай-читай. Тебе подойдёт.

Если я правильно понял задачу, то "уязвимую программу" кладем куда-нибудь в виртуалку, которую, не жалко, со своим веб-сервером, и транслируем запросы к ней курлом.

Но ответ очень приблизительный, поскольку кого от кого защищать надо, из вопроса совершенно неясно. Чувствуется, что и автор, и отвечатели с трудом отличают посетителя веб-сайта от учетной записи на сервере, под которой запускается веб-сервер.

нужен подобный «тестер»

Не нужен. Это бессмысленная проверка.
Без всякого теста и так очевидно, что бот зарегистрируется.

Решение отвратительное. Это уже что-то из серии про архиватор Бабушкина.

Ну разумеется, коллизии будут.

Лучше оставить MD5 (у которого вероятность коллизий вполне в пределех допустимого), но перевести его из неэффективного base16 в более короткую форму. Base64 вполне подойдёт, поскольку кодировщик есть в пхп из коробки. Вот только оба не буквенно-цифровых символа там не подходят для передачи через урл - лучше их заменить:

$base64 =  substr(strtr(base64_encode(hex2bin($md5)),'+/',"_-"),0,-2);

Итого экономим 10 символов из 32-х. Конечно, 22 хуже чем 8, но тут надо выбирать - или достаточная длина, или коллизии и отсутствие безопасности вообще.

Как и большинство хомячков, афтор путает валидацию данных и форматирование вывода.

Как правильно отмечено постом выше, эти две вещи никак друг с другом не связаны. Вообще. Разве только тем, что если полагаться на валидацию входящих, то можно налететь на инъекцию второго порядка, точно так же, как в случае с SQL.

Поэтому валидацию надо оставить как есть, а форматирование производить в обязательном порядке в автоматическом режиме, средствами шаблонизатора. При этом учитывая среду, в которую данные выводятся. Для SQL, HTML, JS и многих других разных вариантов вывода форматирование должно быть РАЗНЫМ

Грамотный код есть в мануале:

$hash = password_hash("rasmuslerdorf", PASSWORD_DEFAULT);

и сохраняем в базу. потом, при проверке

if (password_verify ("rasmuslerdorf", $hash)) echo "OK";

Если версия РНР на хосте пока не доросла до 5.5, то есть имплементация на пхп - тупо заинклюдить, и всё.

Что вопрос, что ответы - ад.
Ресурс движется в правильном направлении.