终极清洁/安全功能

Question

我有很多来自$_GET 和$_POST 的用户输入...目前我总是写mysql_real_escape_string($_GET['var'])..

我想知道您是否可以立即创建一个保护、转义和清理 $_GET/$_POST 数组的函数，这样您就不必在每次处理用户输入时都处理它等等。

我在想一个函数，例如cleanMe($input)，在它里面，它应该做mysql_real_escape_string、htmlspecialchars、strip_tags、stripslashes（我认为这就是让它干净和安全的全部内容) 然后返回$input。

那么这可能吗？制作一个适用于所有$_GET 和$_POST 的函数，所以你只需要这样做：

$_GET  = cleanMe($_GET);
$_POST = cleanMe($_POST);

所以在你以后的代码中，当你使用例如 $_GET['blabla'] 或 $_POST['haha'] 时，它们是安全的、剥离的等等？

试了一下自己：

function cleanMe($input) {
   $input = mysql_real_escape_string($input);
   $input = htmlspecialchars($input, ENT_IGNORE, 'utf-8');
   $input = strip_tags($input);
   $input = stripslashes($input);
   return $input;
}

Answer 1

通用卫生功能的想法是一个错误的概念。

一种适合各种用途的正确卫生方法。在字符串上不加选择地运行它们通常会破坏它 - 为 SQL 查询转义一段 HTML 代码会破坏它以在网页中使用，反之亦然。应在使用数据之前应用卫生设施：

• 在运行数据库查询之前。正确的卫生方法取决于您使用的图书馆；它们列在How can I prevent SQL injection in PHP?

• htmlspecialchars() 用于安全的 HTML 输出

• preg_quote() 用于正则表达式

• escapeshellarg() / escapeshellcmd() 用于外部命令

• 等。等等。

使用“一刀切”的卫生功能就像在植物上使用五种剧毒杀虫剂，根据定义，这种杀虫剂只能含有一种虫子 - 只是发现你的植物被第六种虫害，任何杀虫剂都不起作用。

始终使用一种正确的方法，最好是在将数据传递给函数之前直接使用。 除非需要，否则不要混合方法。

Answer 2

简单地通过所有这些函数传递输入是没有意义的。所有这些功能都有不同的含义。通过调用更多的转义函数，数据不会变得“更干净”。

如果你想在 MySQL 中存储用户输入，你只需要使用mysql_real_escape_string。然后将其完全转义以安全地存储在数据库中。

编辑

还要注意使用其他功能时出现的问题。例如，如果客户端向服务器发送一个用户名，并且该用户名包含一个 & 符号 (&)，那么您不希望在将其存储到数据库之前调用 htmlentities，因为这样数据库中的用户名将包含&.

Answer 3

您正在寻找filter_input_array()。 但是，我建议仅将其用于业务风格的验证/清理，而不是 SQL 输入过滤。

为了防止 SQL 注入，请使用带有 mysqli 或 PDO 的参数化查询。

Answer 4

问题是，清洁或安全的东西用于一种用途，不会用于另一种用途：清理路径的一部分、mysql 查询的一部分、html 输出（如 html、javascript 或输入的value)，因为 xml 可能需要不同的东西，这些东西相互矛盾。

但是，可以做一些全球性的事情。 尝试使用filter_input 来获取用户的输入。并使用 prepared statements 进行 SQL 查询。

尽管您可以创建一些类来管理您的输入，而不是一个全能功能。类似的东西：

class inputManager{
  static function toHTML($field){
    $data = filter_input(INPUT_GET, $field, FILTER_SANITIZE_SPECIAL_CHARS);
    return $data;
  }
  static function toSQL($field, $dbType = 'mysql'){
    $data = filter_input(INPUT_GET, $field);
    if($dbType == 'mysql'){
      return mysql_real_escape_string($data);
    }
  }
}

在这种情况下，如果您在代码中看到任何 $_POST、$GET、$_REQUEST 或 $_COOKIE，您就知道必须对其进行更改。如果有一天您必须更改过滤输入的方式，只需更改您创建的类即可。

Answer 5

如果您使用的是 apache 并且可以完全访问服务器，我可以建议安装“mod_security”吗？！
它确实解决了我的大部分问题。但是不要只依赖一两个解决方案，始终编写安全代码；）
更新 找到了这个 PHP IDS (http://php-ids.org/)；看起来不错:)

Answer 6

<?php
function sanitizeString($var)
{
    $var = stripslashes($var);
    $var = strip_tags($var);
    $var = htmlentities($var);
    return $var;
}

function sanitizeMySQL($connection, $var)
{
    $var = $connection->real_escape_string($var);
    $var = sanitizeString($var);
    return $var;
}
?>

Answer 7

我使用了传递数组或获取，发布

function cleanme(&$array)
{ 
 if (isset($array))
 {
     foreach ($array as $key => $value)
     {
          if (is_array($array[$key]))
          {
           secure_array($array[$key]);
          }
          else 
          {
            $array[$key] = strip_tags(mysql_real_escape_string(trim($array[$key])));
          }
     }
 }
}

用法：

cleanme($_GET);   
cleanme($_POST);