Assainir les données de l'utilisateur dans GET by PHP

comment épurer les données en $ _GET-variables par PHP?

Vous ne pas désinfecter les données dans $_GET. C'est une approche courante dans les scripts PHP, mais c'est complètement faux*.

toutes vos variables doivent rester sous forme de texte clair jusqu'au moment où vous les intégrez dans un autre type de chaîne. Il n'y a pas une seule forme de fuite ou de ‘sanitization’ qui peut couvrir tous les types possibles de chaîne vous peut-être l'intégration de vos valeurs.

donc si vous intégrez une chaîne dans une requête SQL, vous devez l'échapper en sortant:

$sql= "SELECT * FROM accounts WHERE username='".pg_escape_string($_GET['username'])."'";

et si vous crachez la chaîne en HTML, vous devez l'échapper alors:

Cannot log in as <?php echo(htmlspecialchars($_GET['username'], ENT_QUOTES)) ?>.

si vous avez fait ces deux étapes d'évasion sur le tableau $_GET au début, comme recommandé par les gens qui ne savent pas ce qu'ils font:

$_GET['username']= htmlspecialchars(pg_escape_string($_GET['username']));

alors quand vous aviez un ’ & ‘ dans votre nom d'utilisateur, il se transformerait mystérieusement en ’ & ' dans votre base de données, et si vous aviez une apostrophe dans votre nom d'utilisateur, elle se transformerait en deux apostrophes sur la page. Puis quand vous avez une forme avec ces caractères dans Il est facile de finir par échapper double choses quand ils sont édités, ce qui est pourquoi tant de mauvais CMSs PHP finissent avec des titres d'article cassés comme " nouveaux livres de O\\\\\\\\\\\\\\\\\\\'Reilly".

naturellement, en se rappelant à pg_escape_string ou mysql_real_escape_string et htmlspecialchars chaque fois que vous envoyez une variable est un peu fastidieux, c'est pourquoi tout le monde veut le faire (à tort) en un seul endroit au début du script. Pour la sortie HTML, vous pouvez au moins sauver quelques dactylos en définissant une fonction avec un nom court qui fait écho(htmlspécialchars(...)).

pour SQL, il est préférable d'utiliser des requêtes paramétrées. Pour Postgres il y a pg_query_params . Ou, en effet, préparé déclarations comme vous l'avez mentionné (bien que je les trouve personnellement moins gérables). Dans tous les cas, vous pouvez alors oublier de "nettoyer" ou de vous échapper pour SQL, mais vous devez quand même vous échapper si vous avez intégré d'autres types de chaînes, y compris HTML.

strip_tags () n'est pas une bonne façon de traiter les entrées pour l'affichage HTML. Dans le passé, il a eu des problèmes de sécurité, car les analyseurs de navigateur sont en fait beaucoup plus compliqué dans leur interprétation de ce qu'une étiquette peut être que vous pourriez penser. htmlspecialchars () est presque toujours la bonne chose à utiliser à la place, de sorte que si quelqu'un tape un signe moins-que, il obtiendra en fait un signe moins littéral-que et ne trouvera pas la moitié de son texte mystérieusement en train de disparaître.

(*: comme une approche générale pour la résolution de l'injection de problèmes, de toute façon. Naturellement, il y a des vérifications spécifiques au domaine qu'il vaut la peine de faire sur des champs particuliers, et il y a des tâches de nettoyage utiles que vous pouvez faire comme supprimer tous les caractères de contrôle des valeurs soumises. Mais ce n'est pas ce que la plupart des codeurs PHP signifient par assainissement.)