Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

> [PHP]Filtrowanie danych : /
porywacz
post
Post #1





Grupa: Zarejestrowani
Postów: 55
Pomógł: 0
Dołączył: 16.03.2012
Skąd: Austria

Ostrzeżenie: (0%)
-----

Witam, napisałem stronę ze skryptem na includach. A dokładniej to ten skrypt sprawdza czy istnieje zmienna w tablicy get o nazwie 'subtopic' oraz czy ta zmienna zawiera na przykład 'kody'. Jeżeli warunki zostaną spełnione to skrypt includuje treść z pliku include_kody.php i wyświetla zawartość na stronie. Moje pytanie jest następujące, czy ten skrypt jest bezpieczny? Jak filtrować dane wyciągane z tablicy get?
SKRYPT:
[PHP] pobierz, plaintext 
  1. <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN"
  2.         "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
  3. <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en">
  4. <head>
  5. <title>xCheats - Home</title>
  6. <meta http-equiv="Content-Type" content="html/text" charset=utf-8" />
  7. <link rel="Stylesheet" type="text/css" href="style.css"/>
  8. </head>
  9. <body>
  10. <?php
  11. 	include('header_include.php');
  12. ?>
  13.  
  14. <div id="center">
  15. 	<div id="center_left"></div>
  16. 	<div id="center_center">
  17. 		<p style="margin:15px;">
  18.  
  19. 			<?php
  20. 				if(!isset($_GET['subtopic'])) {
  21. 					include('home_include.php');
  22. 				} elseif(isset($_GET['subtopic']) && $_GET['subtopic'] == 'kody') {
  23. 					include('sub_kody.php');
  24. 				} elseif(isset($_GET['subtopic']) && $_GET['subtopic'] == 'dodaj_kody') {
  25. 					include('sub_dodajkody.php');
  26. 				} elseif(isset($_GET['subtopic']) && $_GET['subtopic'] == 'szukaj_kody') {
  27. 					include('sub_szukajkody.php');
  28. 				} elseif(isset($_GET['subtopic']) && $_GET['subtopic'] == 'onas') {
  29. 					include('sub_onas.php');
  30. 				} elseif(isset($_GET['subtopic']) && $_GET['subtopic'] == 'kontakt') {
  31. 					include('sub_kontakt.php');
  32. 				} elseif(isset($_GET['subtopic']) && $_GET['subtopic'] == 'rejestracja') {
  33. 					include('rejestracja_include.php');
  34. 				}
  35. 			?>
  36.  
  37. 		</p>
  38. 	</div>	
  39.  
  40. <?php
  41. 	include('menu_right_include.php');
  42. 	include('footer_include.php');
  43. ?>
  44. </body>
  45. </html>
[PHP] pobierz, plaintext

I nie chodzi mi tylko o ten skrypt. Chciałbym dowiedzieć się więcej na temat bezpieczeństwa, więc proszę o linki do poradników, tutów itd na temat jak stosować ten tak zwany escaping ^^
Bardzo proszę o pomoc (IMG:style_emoticons/default/smile.gif) Dodam też, że dopiero od niedawna interesuje się programowaniem w php, więc proszę o dość "przejrzyste" odpowiedzi (IMG:style_emoticons/default/smile.gif)

Ten post edytował porywacz 31.03.2012, 10:04:32
Go to the top of the page
+Quote Post
 
 Start new topic
Odpowiedzi
tolomei
post
Post #2





Grupa: Zarejestrowani
Postów: 450
Pomógł: 135
Dołączył: 18.11.2010
Skąd: Wschowa

Ostrzeżenie: (0%)
-----

Witaj.

Przy warunkach if ... elseif ... elseif zostanie wykonany ten blok poleceń, który jako pierwszy będzie prawidłowy, a reszta zostanie pominięta.
Tak więc, gdy Twoja zmienna $_GET['subtopic'] będzie istniała to zostanie wykonany pierwszy blok if, a reszta pominięta.
Mówiąc jeszcze prościej - Twoje elseif-y nie wykonają się nigdy.

Co do ładowania podstron - jest to bezpieczne w takim formacie.
Niestety nie jest to zbyt wydajne - wyobraź sobie 1000 podstron w Twoim serwisie.

Możesz utworzyć automatyczne ładowanie plików.
W takim wypadku trzeba porządnie filtrować zmienną, z której pobiera się dane pliku do includowania.

Przykład:
[PHP] pobierz, plaintext 
  1. if(isset($_GET['subtopic'])) {
  2.     // odfiltrowujemy wszystko co nie jest wielką/małą literą(bez polskich znaków), cyfrą lub podkreślnikiem
  3.     $subtopic = preg_replace('#\W#', '', $_GET['subtopic']);
  4.     if(file_exists('sites/'.$subtopic.'.php')) {
  5.         include('sites/'.$subtopic.'.php');
  6.     } else {
  7.         include('sites/index.php');
  8.     }
  9. }
[PHP] pobierz, plaintext


Pozdrawiam.
Go to the top of the page
+Quote Post

Posty w temacie
- porywacz   [PHP]Filtrowanie danych : /   31.03.2012, 09:58:18
- - tolomei   Witaj. Przy warunkach if ... elseif ... elseif zo...   31.03.2012, 10:49:41
- - porywacz   Nie rozumiem czemu moje elseify się niby mają nie ...   31.03.2012, 11:02:06
|- - crocodillo   Cytat(porywacz @ 31.03.2012, 11:02:06...   31.03.2012, 11:09:00
- - tolomei   Och... nie zauważyłem negacji w pierwszym warunku ...   31.03.2012, 11:16:37
- - porywacz   W takim razie bardzo dziękuję za pomoc Temat możn...   31.03.2012, 12:31:45
- - tolomei   Trzeba pamiętać o formacie zapisu pliku. Plik powi...   31.03.2012, 12:49:30

« Następny starszy · Przedszkole · Następny nowszy »
 

Reply to this topicStart new topic
2 Użytkowników czyta ten temat (2 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 

Tryb wyświetlania: Przełącz na: Standardowy · Przełącz na: Linearny+ · Drzewo

Śledź ten temat · Wyślij temat na e-mail · Wydrukuj ten temat · Subskrybuj to forum

RSS Aktualny czas: 17.10.2025 - 11:48
Powered By IP.Board © 2025  IPS, Inc.
All changes by PHP.pl Administrators
Hosting zapewnia NQ.pl hosting, trac, svn