синтаксический анализ и безопасность с помощью $ _GET

Question

Im используя следующий код

$query = "SELECT * FROM raids WHERE RaidNum = '".$_GET["RaidNum"]."'";

, который улавливает из /raiddisplay.php?RaidNum=r75

Мой вопрос это совершенно безопасно? может ли ценность быть использована каким-то образом, чтобы сделать что-то неприятное и есть способы, которыми вы можете ее очистить. Я попытался найти пример использования его, но большинство из них было ужасно сложным, и я действительно не знал, с чего начать. В основном я хочу убедиться, что кто-то не намеренно вводит значение в адресную строку браузера, которая может иметь неприятные побочные эффекты.

Answer 1

Это совершенно небезопасно. Предположим, что я посетил /raiddisplay.php?RaidNum=';drop%20table%20raids;--, тогда я бы просто отказался от таблицы, вместо того, чтобы читать запись.

Лучшим решением является использование prepared statements. Некоторые могут предложить использовать mysql_real_escape_string, но даже это старое и громоздкое. Хотя это само по себе безопасно, вы должны помнить, что всегда применяйте его. Используя подготовленные инструкции с параметрами или используйте библиотеку, которая создает для вас инструкции, вы всегда в безопасности.

Я думаю, что самый простой способ использовать эту функцию - использовать PDO, или PHP Data Objects.

Answer 2

Твои инстинкты были верны. Это небезопасно. Каждый раз, когда вы передаете конфиденциальную информацию (например, данные формы или данные, которые любой может просматривать/изменять) через MySQL, вы хотите ее избежать. Сделайте это:

$raidNum = mysql_real_escape_string($_GET["RaidNum"]); 
$query = sprintf("SELECT * FROM raids WHERE RaidNum = '$raidNum'"); 

http://php.net/manual/en/function.mysql-real-escape-string.php

Answer 3

Лучше всего, чтобы обернуть $ _GET с функцией mysql_real_escape_string. Когда вы будете более продвинутыми, перейдите к PDO.

$query = "SELECT * FROM raids WHERE RaidNum = '".mysql_real_escape_string($_GET["RaidNum"])."'"; 

Answer 4

Вы должны использовать PDO в качестве наилучшей практики, это позволит вам параметризировать запрос обеспечения является как можно более безопасным.

Сначала вы можете сделать простую проверку, что RaidNum - это int (я предполагаю, что это имеет место здесь);

$raidNum = (int)$_GET['RaidNum']; //This is pretty good sanitisation in itself if 
            //you are expecting integers 

Вы можете увидеть, как instantiate a PDO object в документации.

Тогда вы первый prepare ваш запрос: -

$stmnt = $dbh->prepare('SELECT * FROM raids WHERE RaidNum = :RaidNum'); 

Тогда вы можете execute заявление: -

$stmnt->execute(array(':RaidNum' => $raidNum)); 

Последний шаг заключается в fetchAll или fetch результатом

$result = $stmnt->fetchAll(); 

Это, вероятно, немного сложнее, чем вы ожидали, но это хорошо потраченные усилия. Вы всегда можете скрыть это в слое абстракции или функции.