[php] przekazywaine parametrow w URL Opcje

[hhg]

z tego co wiem przekazywanie parametrow w URL

Kod

storna.pl/podstrona.php?parametr1=wartosc1

jest niezbezpieczne (np PHP injection)

czy przed tym wystarczy zabepieczenie:

[PHP] pobierz, plaintext 
<?php
switch ($_GET['parametr1']) {
 
case 'podstrona1.html':
operacje na wartosci..
case ....
 
}
?>
[PHP] pobierz, plaintext 

? jak sie zabezpieczyc przed takimi url-atakami?

[tsharek]

Witam,

Może się mylę, ale wystarczy rzutowanie lub sprawdzanie typów + nie używanie EVALa czy innej funkcji wykonującej coś ze stringa (SYSTEM, EXEC) ze zmiennych hyperglobalnych. W Twoim przypadku dodałbym jednego ifa:

[PHP] pobierz, plaintext 
<?php
if(!isset($_GET['parametr1'] || !is_string($_GET['parametr1'])) $_GET['parametr1']='';
 
switch ($_GET['parametr1']) {
 
case 'podstrona1.html':
operacje na wartosci..
case ....
 
}
?>
[PHP] pobierz, plaintext 

żeby nie otrzymywać warningów o niezgodnści typów jak ktoś wyśle

Kod

storna.pl/podstrona.php?parametr1['ble']=wartosc1

Pozdrawiam,
tsharek