JRequest::getVar('Variable') 在 joomla 中是否安全？

Question

我想知道 JRequest::getVar() 函数是否足以防止 sql 注入或 XSS，或者在 joomla 站点中使用其他一些东西来防止 XSS 或 sql 注入必须更好。

Answer 1

假设您正在为 Joomla 2.5+ 开发，您不应该再使用 JRequest，因为它已被弃用。

获取请求变量的新方法是这样的：

$jinput = JFactory::getApplication()->input;
// expecting integer, default 0
$user_id = $jinput->post->get('user_id', 0, 'INT');
// expecting string, default empty string
$user_name = $jinput->post->get('user_name', '', 'STRING')

$jinput 的第三个参数是过滤器，所以如果你知道你想要例如要返回的整数，设置适当的过滤器。

请注意，使用JInput，必须关闭magic quotes。

为了防止 sql 注入，请使用

$db = JFactory::getDbo();
// $value is not safe
$value = $db->quote($value);

针对 XSS

$filter = JFilterInput::getInstance();
// $value is not safe
$value = $filter->clean($value);

在阅读了您的 cmets 之后，我只想补充一点，它本身并没有“坏字符”。此外，针对 sql 注入或 xss 的过滤也非常不同。为了更好地理解过滤和转义，请参考The Great Escapism