[PHP] Czy tak powinno wyglądać ładowanie plików w CMS Opcje

[amii]

Piszę coś na kształt systemu CMS. Mój index.php wygląda tak jak poniżej. Chciałem się spytać czy header i footer są ładowane pojedynczo czy przy każdym wczytaniu innej strony ? Strony są wczytywane na zasadzie index.php?p=nazwa_strony

[PHP] pobierz, plaintext 
ob_start();
session_start();
require_once('functions.php');
 
foreach ($_GET as $key => $value) {$$key = $value;}
 
foreach ($_POST as $key => $value) {$$key = $value;} 
 
 
 
if(!isset($p)) {$p="main";}
 
 
include_once('header.php');  //naglowek strony
if(file_exists('view/'.$p.'.php')) include('view/'.$p.'.php');  //tresc strony
include_once('footer.php');  //stopka
ob_end_flush();
[PHP] pobierz, plaintext 

[.radex]

Nigdy, _nigdy_ tak nie rób.

Robiąc "foreach ($_GET as $key => $value) {$$key = $value;}" pozwalasz komukolwiek z zewnątrz "wstrzyknąć" dowolną zmienną jaką sobie zażyczy — a to potencjalnie może umożliwić atak.

Co więcej, pozwalasz zaincludować dowolny plik jaki potencjalny atakujący chce. Tego też nie chcemy.

---

Odnośnie pytania — robi się tak, że jest tylko jeden plik, który wyświetla treść (index.php) — i po prostu przekazuje się jaką podstronę ma wyświetlić.

Oczywiście robi się to "trochę" inaczej niż Ty (IMG:style_emoticons/default/wink.gif)

[Turson]

Nigdy, _nigdy_ tak nie rób.

Robiąc "foreach ($_GET as $key => $value) {$$key = $value;}" pozwalasz komukolwiek z zewnątrz "wstrzyknąć" dowolną zmienną jaką sobie zażyczy — a to potencjalnie może umożliwić atak.

Co więcej, pozwalasz zaincludować dowolny plik jaki potencjalny atakujący chce. Tego też nie chcemy.

---

Odnośnie pytania — robi się tak, że jest tylko jeden plik, który wyświetla treść (index.php) — i po prostu przekazuje się jaką podstronę ma wyświetlić.

Oczywiście robi się to "trochę" inaczej niż Ty (IMG:style_emoticons/default/wink.gif)

Powiedzmy, że masz link index.php?podstrona=kontakt
Wykorzystujesz wtedy $_GET, w skrócie jeśli zmienna podstronna = kontakt, includujesz dany plik.