Endre et script

[Harald B]

uansett.. kan jeg bruke stripcslashes da? i tilegg til stripslashes?

 

sikkert lurt og bruke strip_tags også

 

Du skal ikke bare slenge opp alle funksjonene du har hørt blitt nevnt i forbindelse med escaping av brukerdata uten at du vet hva de gjør. Det blir helt feil og kan i mange tilfeller gjøre ting verre. Det er viktig å ha en forståelse av hva funksjonen gjør og hvorfor du skal bruke den.

I tilfellet med includes er det veldig lett å trå feil, derfor er det bedre å være litt streng med hva du tillater av brukerdata.

 

Du kan foreksempel ha filene som skal inkluderes i en mappe uten noen andre filer. Vær streng med navngivingen av disse filene og kun bruk bokstavene a-z som navn. Dette gir en noe strengere navngiving enn filsystemet tillater, men lar deg lett filtrere uønsket data.

Filtreringen kan gjøres slik:

<?php
if ( !preg_match("/^[a-z]+\z/i",$_GET['id']) ) {
die('nice try');
}

include "id/{$_GET['id']}.php";
?>