filter_varは良い方法ですか？

Question

filter_varはデータのフィルタリングに適していますか？どのような種類の不良データがフィルタリングされますか？私はmysql_real_escape_stringを使用しますが、filter_varを追加すると役に立ちますか？

Answer 1

可能であれば、準備されたステートメントを使用して防御してください。そうでない場合は、文字列にはmysql_real_escape_string、整数の場合は（int）、整数の場合はint（int）、浮動小数点数の場合はfloat（float）、LIKE文で使用する文字列の場合はaddcslashes（$ input、 '％_'）を使用します。 RLIKE文の中で使用される文字列をエスケープしようとすると、さらに複雑になります。

$escaped = htmlspecialchars($input, ENT_QUOTES, $your_charset); 

A：それは、その場合には、最も手頃な価格のソリューションである、欲しい

は、フィルタリングHTMLコンテンツでは、最高のは、（$ allowable_tagsを介さずに）strip_tagsだろう、しかし...あなたは/好きではないことより信頼性の高いソリューションは、次のようなライブラリを使用することです。HTML Purifier

フィルタ関数はOKですが、フィルタのバリデータはフィルタよりも多くあります。あなたのニーズに応じて、それらのいくつかが役に立つかもしれません。

Answer 2

本当にあなたがしようとしていることに依存しています。具体的なことを知らずには本当に答えられません。考えられるフィルターとその効果は、次のとおりです。Types of filters

Answer 3

filter_varをFILTER_* constantsと組み合わせて調整します。 validation（データのチェックは安全です）ではなく、sanitisationのデータ（実際には安全にするためにデータを調整する*）を探しているようです。

さまざまなフィルタは、さまざまなタスクに役立ちます。 mysql_real_escape_stringはSQLインジェクションを防ぐためにデータをサニタイズしても問題ありませんが、HTMLを含む可能性のあるデータを出力するのは良くありません。 - 、（削除しない）HTMLコードを表示するXSS攻撃を阻止し、HTMLエンティティにシンボルを変換するのに有用な

• FILTER_SANITIZE_SPECIAL_CHARS：ここで私は日常的なタスクのために使用したいフィルタののカップルです。
• FILTER_SANITIZE_STRINGとSTRIP_LOW/HIGHフラグ - 実際にはHTMLを削除します（strip_tags参照）。
• FILTER_SANITIZE_URL - URLを安全にする*。
• FILTER_SANITIZE_EMAIL - 電子メールアドレスを安全にすることができますが、アドレスを保存する前に検証の同僚を使用することをお勧めします。

私が緩く安全な使用*、私はあなたがあまりにも確認することはできません意見です。

Answer 4

ちょっと小さなテストに基づいて、filter_varの定数は信頼できないという結論に至りました。例えば

：

filter_var('a@b-.c', FILTER_VALIDATE_EMAIL); // valid 
filter_var('http://.', FILTER_VALIDATE_URL); // valid 
filter_var('a@b-.c', FILTER_SANITIZE_EMAIL); // a@b-.c 
filter_var('http://.', FILTER_SANITIZE_URL); // http://. 

は、これらは明らかに無効な値ですが、filter_varの定数を渡します。 filter_varを信用しないでください。

Answer 5

すべては、有効なURLまたは有効なメールの意味によります。

たとえば、a@b-.c - よく、トップレベルドメインをフィルタリングして.cを除外できますが、トップレベルドメインのリストは定数ではありません。さらに、すべての文字が有効です。これは奇妙に見えますが、ほぼ確実に有効ではありませんが、多くの正規表現フィルタもそれを検証します。

メールでa@b-.cまたはURL http://.を表示またはリンクで使用すると、どこにもいなくても害はありません。

私は問題の一部があなたのフィルタをどの程度緩めているのかという疑問だと思います。大きな懸念がXSSまたはSQLインジェクションである場合、または危険な入力を防止する場合、値が有用であるかどうかは関係ありませんので、この種のフィルタがトリックを行う可能性があります。

値が安全であるだけでなく使用可能であることを確認したい場合は、それはより厄介な獣です。