如何使用 PHP 安全地将 JSON 数据写入文件

Question

我有用于编辑图像的 HTML 表单。所有数据都存储在 JSON 中。当我更改当前图像时，我想通过 PHP 脚本将更改保存到文本文件中。如果我返回上一个图像，这个配置将再次从这个文件发送到表单。

我的问题是：

如何安全地写入/读取此类数据。在哪里以及如何有效地检查数据以防止某些 JS/PHP 代码注入？

我在下面附上了一些概念代码：

JavaScript（使用 jQuery）：

// Writing
$.ajax({
    global: false,
    type: "POST",
    cache: false,
    dataType: "json",
    data: ({
        action: 'write',
        config: JavaScriptJSON_Obj
    }),
    url: 'read-write.php'
});

// Reading
$.ajax({
    global: false,
    type: "POST",
    cache: false,
    dataType: "json",
    data: ({
        action: 'read'
    }),
    url: 'read-write.php',
    success: function(data){
        JavaScriptJSON_Obj = data;
    }
});

PHP 示例（read-write.php）：

switch ($_REQUEST['action']) {
    case 'write':
        file_put_contents('config.txt', $_REQUEST['config']);
        break;
    case 'read':
        $s = file_get_contents('config.txt');
        echo json_encode($s);
        break;
}

Answer 1

首先：JSON 不是 JavaScript，反之亦然。而且 JSON 甚至不是 JavaScript 的正确子集。

此外，由于您既不会将某些用户输入解释为 PHP，也不会将某些输出解释为 JavaScript，因此无需担心。但不要忘记正确指定输出：

header('Content-Type: application/json;charset=utf-8');
$s = file_get_contents('config.txt');
echo json_encode($s);

Answer 2

我总是会检查返回的数据，看看它是否是我期望的格式。假设您正在保存图像...使用 MIME 检查等检查以确保它是图像。如果您只是将数据按原样保存在服务器上，您可能会为一些潜在的安全问题打开大门。

如果您的意思是只保存有关查看了哪些图像的数据，则根据访问和使用该数据的方式和位置，它仍然可能会造成问题。所以如果你除了一个整数，仅此而已，请确保你接收和保存的数据是一个整数，仅此而已。

Answer 3

除了安全问题之外，您的代码的问题在于它不起作用。您必须序列化数据，或将其编码为 json，然后再将其存储在文件中，即。像这样：

switch ($_REQUEST['action']) {
    case 'write':
        file_put_contents('config.txt', json_encode($_REQUEST['config']));
        break;
    case 'read':
        readfile('config.txt');
        break;
}

序列化的工作方式如下：

switch ($_REQUEST['action']) {
    case 'write':
        file_put_contents('config.txt', serialize($_REQUEST['config']));
        break;
    case 'read':
        $data = unserialize(file_get_contents('config.txt'));
        echo json_encode($data);
        break;
}

只要确保读取/写入的路径正确，此代码就不存在代码注入问题。唯一的潜在问题是您是否可以选择要使用的文件（而不是将“config.txt”硬编码到代码中）。然后你必须验证以确保文件在给定的目录等中。