Sikkre $_GET på best mulig måte

[xatic]

Hei,

 

Som topic sier, hvordan kan jeg sikkre $_GET variabelen i php på best mulig måte? finnes det noen gode eksempler på dette?

[MikkelRev]

Du mener at ikke noen kødder seg med querystringen?

Sjekk inndataen. Hvis det skal være et tall, sjekk at det også er et tall med is_numeric(). Skal dataen sendes til database med sql, bruk mysql_real_escape_string().

[Jonas]

Nå er ikke dette tilfelle i verken MySQL eller PostgreSQL, men tall som +0123.45e6 vil passere is_numeric, hvilket kan være uheldig.

[Noble]

Bruk $_POST?

[Ernie]

POST hjelper ikke. Den kan endres i like stor grad som GET.

[JohndoeMAKT]

Først må du definere hva sikre betyr. Om noe er sikkert er helt avhengig av hva det skal brukes til. Strengen:

 

'jeg er en

fisk'

 

Er ganske ufarlig i et HTML-dokument, men putt det i et application/json-svar og det brekker.

[Thomas.]

Nå er ikke dette tilfelle i verken MySQL eller PostgreSQL, men tall som +0123.45e6 vil passere is_numeric, hvilket kan være uheldig.

 

Har du andre type tall som kan passere is_numeric?

[BlueEAGLE]

Nå er ikke dette tilfelle i verken MySQL eller PostgreSQL, men tall som +0123.45e6 vil passere is_numeric, hvilket kan være uheldig.

 

Har du andre type tall som kan passere is_numeric?

0xFF

 

<?php
var_dump(is_numeric("0xff"));
var_dump(is_string("0xff"));
?>

Begge disse returnerer bool(true)

Endret 25. januar 2010 av BlueEAGLE