Phalcon形式消毒

Question

有没有一种方法可以过滤由 VOLT 生成的表单中自动完成的数据。 考虑登录表单：电子邮件/密码。 当我编辑 HTML（在 broser 中）并将电子邮件作为数组发送时 ('name="email[]") 我可以在 PHP 中对其进行清理并将其“投射”为电子邮件：

            $loginEmail = $this->request->getPost("email",'string');
            $loginEmail = $this->filter->sanitize($loginEmail, "email");

为了防止其他攻击。 但是在将电子邮件字段设为数组 VOLT 时会产生错误：

"Notice: Array to string conversion in ..."

VOLT 表单值会自动填充...

我知道我应该在生产环境中禁用通知，但仍然...

如何使用 VOLT 来处理这个问题？

编辑 模板示例：

{{ text_field('id':"email","class":"form-control", "size": 32,"placeholder":'Email address') }}

在 var_dump 并通过验证设置电子邮件字符串之后，我得到了某个点：

protected '_viewParams' => 
    array (size=5)
      'title' => string 'Test' (length=5)
      'showSlider' => boolean true
      'hideUnlogged' => boolean true
      'user' => null
      'email' => boolean false

但是变量被发送到上层的 VOLT，因为它仍然设置为 ARRAY。

唯一可行的解​​决方案是制作一个对象或其他东西，并从配置中获取适用于表单的验证规则（按名称）并重写 public/index.php 中的 post 变量，例如这个：

if(isset($_POST['email']))
{
    $_POST['email'] = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
}

如果有人有更好的解决方案，可以在控制器中完成，而不是在 this 或带有事件处理程序的服务中......

Answer 1

您可以通过implementing a custom filter 做任何您想做的事情，并进行从数组到字符串的正确转换。

$filter = new \Phalcon\Filter();

//Using an anonymous function
$filter->add('superSanitisedString', function($value) {
    if (is_array($value)) {
        $value = empty($value) ? '' : reset($value);
    }
    return (string) $value;
});

//Sanitize with the "superSanitisedString" filter
$filtered = $filter->sanitize($possibleArray, "superSanitisedString");

但是……不要过度弯曲摇杆 - 这是一项明确的验证工作，然后是消毒。检查该值是否为字符串，如果不是 - 要求提供一个。保护您的应用免受无效输入的影响比提供该输入的白痴更容易和更聪明:)

编辑：

您可以使用可以作为服务添加的自定义电压过滤器，使用静态方法实现一个类以返回经过清理的值并在模板中使用它。