PHP en español: curso, seguridad y ejemplos

← Más ejemplos de código: Java, Python, C#, PHP…

PHP es el lenguaje que funciona en el servidor detrás de WordPress, Laravel, Drupal o Magento: según W3Techs, lo usa el 69 % de los sitios web cuyo lenguaje de servidor se conoce. Aquí tienes un curso desde cero con PHP 8.5, una guía de los fallos de seguridad que más se repiten y cómo mantener PHP al día, sus rarezas, un test, un editor para probarlo en el navegador y ejemplos para tareas concretas. Todo el código se ejecutó antes de publicarse.

Curso · 8 leccionesAprende PHP desde cero, en españolDel primer php hola.php a una aplicación web con usuarios: tipos y strict_types, arrays, funciones y errores, clases y enums, Composer y pruebas, formularios, sesiones y bases de datos. Con esquemas, retos y el mensaje real de PHP en cada error.Ir al curso →

Seguridad: lo que no puede faltar

PHP es también uno de los lenguajes más atacados, precisamente porque está en todas partes. La mayoría de los problemas no vienen del lenguaje sino de cómo se usa, y casi todos se evitan con unas pocas costumbres. Por eso cada lección del curso tiene su recuadro «Ojo con la seguridad», y estas dos páginas lo reúnen todo.

Seguridad · 15 fallosLos fallos de seguridad típicos de PHP y cómo evitarlosInyección SQL, XSS, CSRF, contraseñas, sesiones, subida de archivos, deserialización y más: cada uno con el código vulnerable, cómo se ataca, el código corregido y cómo detectarlo en tu aplicación.Ver los fallos → Versiones y parchesMantén PHP al díaQué versiones siguen recibiendo parches y hasta cuándo, cómo saber cuál tienes de verdad, cómo actualizar en cada sistema y los fallos reales que muestran por qué no conviene esperar, hasta PHP2Shell.Ver las versiones →

Practica y ponte a prueba

Rarezas y fallos de diseñoLo que sorprende de PHPComparaciones con == que dan true, empty("0"), strpos que devuelve 0, la referencia que sobrevive al foreach y otras decisiones de diseño que conviene conocer antes de que te muerdan.Ver las rarezas → Test · 24 preguntas¿Qué imprime este código?24 fragmentos de PHP: decide qué escriben o qué error lanzan. Con la nota, los aciertos por lección y la salida real de PHP 8.5 en cada respuesta.Hacer el test → EditorPrueba PHP en el navegadorEscribe y ejecuta PHP 8.5 sin instalar nada: el intérprete se descarga al pulsar «Ejecutar» y funciona dentro de tu navegador. Cada ejemplo del curso tiene un botón para abrirlo aquí.Abrir el editor →

Los ejemplos son programas de un solo archivo que se ejecutan con php archivo.php (o con el servidor integrado, php -S localhost:8000, los que son web). Hace falta PHP 8.5 o posterior y todos empiezan con declare(strict_types=1).

Datos: JSON, CSV, fechas y texto

• Leer y escribir JSONjson_encode y json_decode, JSON_THROW_ON_ERROR, objetos frente a arrays asociativos y cómo dar un formato legible.
• Leer y escribir CSVfgetcsv y fputcsv, cabeceras, separadores y acentos, y por qué no basta con explode.
• Fechas y horas con DateTimeImmutableZonas horarias, formatos, sumar días y diferencias entre fechas sin los errores de date().
• Expresiones regularespreg_match, preg_match_all y preg_replace, grupos con nombre y cómo escapar lo que escribe el usuario.
• Leer un archivo XMLSimpleXML y DOM, atributos y espacios de nombres, y cómo leer XML sin abrir la puerta a XXE.

Web y bases de datos

• Base de datos SQLite con PDOCrear tablas, insertar y consultar con consultas preparadas, transacciones y errores como excepciones.
• Peticiones HTTP con cURLGET y POST, cabeceras, tiempo límite, códigos de estado y el JSON de una API.
• Una API REST mínimaRutas, métodos, respuestas JSON y códigos de estado con el servidor integrado de PHP.
• Un inicio de sesión seguropassword_hash, sesiones con cookies seguras, regenerar el identificador y limitar los intentos.
• Subir archivos de forma seguraComprobar el tipo real con finfo, limitar el tamaño, renombrar y guardar fuera de la carpeta pública.

Programas de línea de órdenes

• Argumentos de la línea de órdenes$argv y getopt, opciones cortas y largas, la ayuda y los códigos de salida.
• Configuración con variables de entornogetenv y $_ENV, valores por omisión y por qué los secretos no van en el código.

Todo el código se ejecutó con PHP 8.5.12 en un contenedor limpio antes de publicarse; los mensajes de error y las salidas que aparecen están copiados de esa ejecución. Si mantienes un servidor con PHP, lee también nuestras noticias sobre PHP2Shell, el fallo crítico de octubre de 2026.