PHP $ _REQUESTのスーパーグローバルを読むための安全な方法は何ですか？

Question

私は潜在的なセキュリティ問題を開かないような方法でパラメータを取得しようとしています。

私が思っていたのは、リクエストパラメータを明示的に私が期待しているものに一致させてから、一致しないもののデフォルトを設定することでした。例えば

：

if ($_REQUEST['media'] == "video") 
    $sort = "video"; 
elseif ($_REQUEST['media'] == "audio") 
    $sort = "audio"; 
else 
    $sort = "both"; 

はこれで十分ですか更なるステップが必要なのでしょうか。

Answer 1

あなたの言うことは安全ですが、あまりにも冗長です。あなたは多くの大として（あなたのためにそれを処理する関数には、この抽象的、でき

$sort_valid = array('video', 'audio', 'both'); 
$sort = 'both' 
if (isset($_REQUEST['media']) && in_array($_REQUEST['media'], $sort_valid)) { 
    $sort = $_REQUEST['media']; 
} 

スーパーグローバル解析のこの種は、あなたのコード全体で共通である場合：PHPの配列操作を使用してPHPは、あなたのために汚い仕事を処理させるだろうPHPプロジェクトが行う）。

---

ギャビンが指摘したように、それはすべての可能であればあなたは（すなわち$_GET、$_POST、または$_COOKIE）に興味を持っている特定のスーパーグローバルを使用することもお勧めします。今のところ重要ではないかもしれませんが、いくつかの醜いバグは、3つの超大域間で命名の競合が起こることを管理できます（例：：$_COOKIEはデフォルトの検索結果の並べ替えを参照することがあります）。$_GETのsortは昇順または降順です。

Answer 2

私は1つ以上の条件を追加します。

$sort = "both"; 
    if (array_key_exists('media', $_REQUEST)) 
    { 
     if ($_REQUEST['media'] == "video") 
      $sort = "video"; 
     elseif ($_REQUEST['media'] == "audio") 
      $sort = "audio"; 
    } 

そして、はい、$ _REQUESTスーパーグローバルは、リクエストを読むために推奨される方法です。

Answer 3

データがどこから来ているのかわからないことはかなり安全ではないことに気付く価値があります（セキュリティについて懸念している場合）。配送方法によって$ _GET、$ _POST、$ _SESSIONのいずれかを使用してください。

Answer 4

最も簡単な方法は、次のようになります。

$sort='both'; 
$sort_valid = array('video', 'audio'); 
if(isset($_REQUEST['media']) && in_array($_REQUEST['media'], $sort_valid)) $sort=$_REQUEST['media']; 

Answer 5

$valid = array("media" => array("both", "media", "video"), ...); 
$default = array("media" => "both", ...); 

...

// 1. drop invalid keys 
$filtered_on_keys = array_key_intersect($_REQUEST, $valid); 

// 2. drop invalid values 
$filtered_on_values = array(); 

foreach($filtered_on_keys as $key => $value) { 
    if (array_search($value, $_REQUEST($key) !== FALSE) { 
    $filtered_on_values[$key] = $value; 
    } 
} 

// 3. add missing defaults 
$result = array_merge($defaults, $filtered_on_values); 

Answer 6

は、データから来ていることは最良の方法ですあなたが知っていることを確認してください。
//我々はそれが文字列に解析しません//
、そうwhateeverは$ _POSTに来て、我々は方法がポストに等しいならば、我々はint型に解析するメディアヌル
// $を設定し、GETメソッドを受け入れるドントので、私たちはsql injcetionをチェックする必要はありません。道による

(isset($_GET['media']))? $media='': $media=(int)(isset($_POST['media'])) ? $_POST['media'] : ''; 

switch ($media) { 
    case 1: $sort = "video"; break; 
    case 2: $sort = "audio"; break; 
    default: $sort = "both"; break; 
} 

、あなたは私たちが、フォームでPOSTメソッドを使用しての約$ _SERVER [ 'REQUEST_METHOD']

//を読むことができます...

if（$ _SERVER ['REQUEST_METHOD'] == "GET"）header（ 'Location：http://www.disney.com/'）;