:::

6-3-5 過濾變數,避免XSS跨域攻擊

一、過濾外來變數

  1. 外來變數通常來自使用者輸入或者比較容易竄改,所以,一定要進行過濾。
  2. 若用內建的 htmlspecialchars($string) 來過濾的話,預設只轉化雙引號,不對單引號做轉義,所以,這樣用htmlspecialchars($string,ENT_QUOTES) 更好。
  3. 另一個和 htmlspecialchars 很像的 htmlentities 函數並不適用中文,因為會連同中文字一起轉義。
  4. htmlentities htmlspecialchars 只能防止XSS攻擊,不能防止SQL隱碼攻擊。
    $title = htmlspecialchars($_POST['title'], ENT_QUOTES);

     

  5. 用PHP的 filter_var 過濾器亦有同樣效果(還更彈性一些):
    $title = filter_var($_POST['title'], FILTER_SANITIZE_SPECIAL_CHARS);

     

二、 PHP的 filter_var 過濾器

  1. 可利用PHP內建的 filter_var() 函數來過濾變數。
  2. 幾種常用過濾方法,完整過濾器可由此查看
    名稱 功用
    FILTER_CALLBACK option可以讓開發者用自訂的function處理
    FILTER_SANITIZE_STRING 去除標籤或特殊字元(html標籤會直接被消除)
    FILTER_SANITIZE_ENCODED 與urlencode()相同,過濾特殊字串
    FILTER_SANITIZE_MAGIC_QUOTES 過濾針對SQL injection做過濾(例如單、雙引號)
    FILTER_SANITIZE_SPECIAL_CHARS 針對HTML做encoding,例如<會轉成&lt;
    FILTER_SANITIZE_EMAIL 過濾e-mail,刪除e-mail格式不該出現的字元(除了$-_.+!*'{}|^~[]`#%/?@&=和數字),例如a(b)@gmail.com會被過濾成ab@gmail.com
    FILTER_SANITIZE_URL 過濾URL,刪除URL格式不該出現的字元
    FILTER_SANITIZE_NUMBER_INT 刪除所有字元,只留下數字與+-符號
    FILTER_SANITIZE_NUMBER_FLOAT 刪除所有字元,只留下數字和+-.,eE
    FILTER_VALIDATE_INT 判斷數字是否有在範圍內
    FILTER_VALIDATE_BOOLEAN 判斷布林值,1、true、on、yes都會判斷成true,反之為false,若是這些以外的值會回傳NULL
    FILTER_VALIDATE_FLOAT 判斷是否為浮點數
    FILTER_VALIDATE_REGEXP 利用regexp做驗證
    FILTER_VALIDATE_URL URL驗證
    FILTER_VALIDATE_EMAIL e-mail驗證
    FILTER_VALIDATE_IP IP驗證

三、過濾數字

  1. 一般過濾數字用 (int) $xxxintval($xxx)即可,會強制把輸入的內容變成數字。
  2. 亦可用 filter_var($num, FILTER_SANITIZE_NUMBER_INT) 來過濾,但和 intval 不太一樣,例如:
    $num = "123其他文字456";
    echo filter_var($num, FILTER_SANITIZE_NUMBER_INT) . "<br>";
    echo (int) $num . "<br>";
    echo intval($num) . "<br>";
    

     

  3. (int) $xxxintval($xxx)會得到 123,但用filter_var() 會得到 123456

四、將我們的表單會接收到的變數過濾

  1. 例如:(用 $_REQUEST['op'] 表示凡來自 $_POST['op']$_GET['op']$_COOKIE['op'] 的變數都會進行過濾)
    $op = filter_var($_REQUEST['op'], FILTER_SANITIZE_SPECIAL_CHARS);
    $id = (int) $_REQUEST['id'];
    

    但若沒有傳入op或id,系統可能會出現一些提示訊息,因此,可以用isset()判斷是否有此變數,在進行過濾:

    $op = isset($_REQUEST['op']) ? filter_var($_REQUEST['op'], FILTER_SANITIZE_SPECIAL_CHARS) : '';
    $id = isset($_REQUEST['id']) ? (int) $_REQUEST['id'] : 0;

     


:::

書籍目錄

展開 | 闔起

https%3A%2F%2Fcampus-xoops.tn.edu.tw%2Fmodules%2Ftad_book3%2Fpage.php%3Ftbsn%3D52%26tbdsn%3D1797

計數器

今天: 4081408140814081
昨天: 5069506950695069
總計: 5134529513452951345295134529513452951345295134529