ユーザー入力が含まれています

Question

これはかなり安全ですか？私が逃した何か？

$page = sprintf("%s/%s.php", "pages", $_GET['page']); 
if (file_exists($page)) { 
    include $page; 
} 
else { 
    echo "The page '$page' does not exist =("; 
} 

（はい、あなたがそれを使用することができます）

Answer 1

これを行うには、「より良い」の方法は、許可されたページの配列を持っているし、このような何かを行うことです：

$all_pages = glob('pages/*.php'); 

ドキュメント：in_array、glob

Answer 2

、ユーザーが任意に、彼らはのように感じるものは何でもページをロードすることができますので、それは安全ではないのです。あなたが確実な場合

Answer 3

は$_GET['page']には/または..ありませんし、訪問者がpagesディレクトリ内の任意のPHPファイルを表示することが許可されていることを、私はそれは大丈夫だと思います。あなたは簡単にこのような何かを行うことによって、すべての許可されたページのリストを取得することができ

$page = $_GET['page'] . '.php'; 
if(in_array($page, $all_pages)) { 
    include('pages/' . $page); 
} 

：

Answer 4

利用basename（）供給されて何のパス情報がありませんことを確認する：

$page = sprintf("%s/%s.php", "pages", basename($_GET['page'])); 
if (file_exists($page)) { 
     include $page; 
} 
else { 
     echo "The page '$page' does not exist =("; 
}