Можно ли построить DateTime() из GET?

Question

Безопасен ли следующий код?

$d = new DateTime($_GET["date"]); 

AFAIK нет прямых способов использования строки формата даты для злонамеренных целей. Однако в разных ОС могут быть некоторые особенности, поэтому - добавьте дополнительную проверку, чтобы убедиться, что дата выглядит точно так же, как yyyy-mm-dd?

Я использую PHP5.6 & PHP7.

Answer 1

Да, этот код всегда безопасен. В худшем случае кто-то пытается отправить что-то злонамеренное, и исключение выбрасывается, потому что это неверная дата. Я бы обернуть его в Try/уловом:

try { 
    $date = new \DateTime($_GET["date"]); 
} catch (\Exception $e) { 
    // Log and return a status code of 404 or similar 
}