Форумы портала PHP.SU :: Версия для печати :: Безопасная обработка форм

1. neolinux - 22 Января, 2014 - 11:04:41 - перейти к сообщению

При использовании приложений полученных из интернета, возникает возможность дыры в безопасности. Вдруг программа не проверила введенные пользователем данные? Решил в начале загрузки проверять весь пользовательский ввод

CODE (htmlphp):
скопировать код в буфер обмена

<?php
// post cooke session
if(!isset($type))
{
   $temp=array_keys($_GET);
   foreach($temp as $value)
   { // по умолчанию грохаем все
      $_GET[$value]=htmlspecialchars($_GET[$value]); // преобразует html
      $_GET[$value]=escapeshellcmd($_GET[$value]); // экранирует опасные символы
   }
}
elseif($type==='htmltext')
{// поля блогов, где необходим ввод кода
   $temp=array_keys($_GET);
   foreach($temp as $value)
   {
      $_GET[$value]=htmlspecialchars($_GET[$value]); // преобразует html
      $_GET[$value]=addslashes(($_GET[$value]); // экранирует опасные символы
   }
}
elseif($type==='nohtmltext')
{// поля блогов, где удаляем ввод кода
   $temp=array_keys($_GET);
   foreach($temp as $value)
   {
      $_GET[$value]=strip_tags($_GET[$value]); // удаляет html
      $_GET[$value]=addslashes(($_GET[$value]); // экранирует опасные символы
   }
}
elseif($type==='exec')
{
   $temp=array_keys($_GET);
   foreach($temp as $value)
   {
      $_GET[$value]=escapeshellcmd($_GET[$value]); // экранирует опасные символы
   }
}
elseif($type==='sql_v1')
{// поля, учавствующие в sql запросах. первый вариант
   $temp=array_keys($_GET);
   foreach($temp as $value)
   {
      $_GET[$value]=mysql_escape_string($_GET[$value]); // экранирует опасные символы
   }
}
elseif($type==='sql_v2')
{// поля, участвующие в sql запросах. второй вариант
   $temp=array_keys($_GET);
   foreach($temp as $value)
   {
      $_GET[$value]=addslashes(($_GET[$value]); // экранирует опасные символы
   }
}
?>

Аналогично обрабатывается post, cooke и session. Это лишь базовая проверка, пытающаяся "заткнуть" возможную дырку. Тип поля по умолчанию подойдет для логинов, паролей, других полей анкетирования. Остальные типы описаны в коде. Что я пропусти (типы полей, проверка)? Пожалуй нужно еще тип для email. Как лучше проверить?