предотвратить массив в строковое поле - XSS

Question

У меня возникли проблемы анализа формы ввода ...
Я приведу три примера, и принимая во внимание изменение формы «User»

---

<form method="POST" action="#"> 
    <input type="text" name="first_name" value="Albert"> 
    <input type="text" name="last_name" value="Einstein"> 
</form> 

^{оригинальные поля без изменений, получить данные:
$ _POST = массив ('first_name' => 'Альберт', 'last_name' => 'Эйнштейна)}

---

<form method="POST" action="#"> 
    <input type="text" name="first_name[]" value="Albert"> 
    <input type="text" name="last_name[]" value="Einstein"> 
</form> 

^{фальсифицированного поле, я получаю данные:
$ _POST = массива ('first_name' => массив (Albert), 'last_name' => массив (Эйнштейн))}

---

<form method="POST" action="#"> 
    <input type="text" name="first_name[]" value="Albert"> 
    <input type="text" name="first_name[]" value="Einstein"> 
</form> 

^{фальсифицированных поля, я получаю данные:
$ _POST = массив ('first_name' => массив (Альберт Эйнштейн), 'last_name' => NULL)}

---

1. проверить, если поле типа ожидается еще до того, имеем дело с «класса Validate»?
   field_X, если строка как ожидалось, и я получаю массив, я отмечаю его как ошибку или получаю первый элемент массива?

2. Если я получаю массив в поле строки, то должно быть, как я буду заполнять форму переданными данными?
   Если я заполнить поле с $_POST['XXX'] появляется Array

Я надеюсь, что было ясно, так как это реальная проблема
Баки для всех

Answer 1

Вы должны подтвердить, что вход не является массивом в верхней части вашего сценария

if(isset($_POST['my_field'] AND !is_array($_POST['my_field'])) { 
    $field = htmlentities($_POST['field'], ENT_QUOTES, 'UTF-8'); 
    // You are now "safe" 
} 

1. Вы должны убедиться, что ваш заголовок ответа Content-Type содержит «UTF-8» после применения/* Если ваш ответ не UTF-8, вы уязвимы. Всегда выводить строки в UTF-8. Вероятно, вы можете добавить некоторую проверку UTF-8 после первой строки в приведенном выше скрипте.

Answer 2

Вы можете использовать gettype() для проверки типа.

form.html:

<form method="POST" action="action.php"> 
    <input type="text" name="first_name" value="Albert"> 
    <input type="text" name="last_name" value="Einstein"> 
</form> 

action.php

<?php 

if (gettype($_POST['first_name']) === 'string') { 
    var_dump($_POST['first_name']); 
} 

В этом примере, $ _POST [ 'first_name'] только var_dump() издание, если это строка.