Как обезопасить генерируемый PHP скрипт?

Question

[altkov]

Есть PHP скрипт, который генерирует... PHP скрипт, подставляя данные (строку или число как правило) из пользовательского ввода и выдает пользователю .php файл. Вопрос в том, как это все обезопасить, чтобы сервер не взломали.
Подумал генерировать txt, а пользователю выдавать уже .php файл.
И закрыть папку со скриптами по htaccess
Как лучше сделать?

Comments

[FanatPHP]

что значит "выдаёт"? вызывает диалог загрузки что ли?
и зачем вообще это нужно?

Задавая заведомо дурацкий вопрос, всегда надо приводить больше подробностей, чтобы было хотя бы понятно, откуда взялась эта кривизна

[altkov]

FanatPHP, надо, чтобы скрипт генерировался из пользовательского ввода и отдавался скачиваться пользователю. Вот и все

[nokimaro]

altkov, настройте веб сервер так чтобы генерируемые файлы не исполнялись, и не будет проблем.

[altkov]

nokimaro, логично. И каким образом это сделать?

[Александр Торопов]

подставляя данные (строку или число как правило)

Говорят, правила для этого и придумывают, что бы их нарушать.
Создавать .php файл на сервере из пользовательского ввода - это сама по себе уже не очень идея.

[FanatPHP]

Александр Торопов, не, ну если это отдаётся пользователю, то это уже его проблемы.

[altkov]

Александр Торопов, задача такая. Это основной функционал приложения. Вот уж весело будет если будет стена инпутов, кнопка скачать, а вместо скачивания будет окно с сообщением "мы передумали, выдавать php скрипт - это плохая идея". Так вы себе это представляете?

[FanatPHP]

То есть весь вопрос в том, чтобы не сохранять файл на диске перед тем как отдать его пользователю?

[altkov]

FanatPHP, вопрос в том как защитить файл от инъекции и защитить сервер от его исполнения

[FanatPHP]

это если говорить о безопасности

[FanatPHP]

чтобы защитить сервер от исполнения, надо не сохранять файл на диске перед тем как отдать его пользователю
я не по-русски пишу?

[altkov]

FanatPHP, и как это сделать?

[FanatPHP]

echo

Answer 1

[FanatPHP]

var_export() от синтаксических ошибок
плюс, разумеется, не сохранить результат на сервере

Comments

[altkov]

Как не сохранять результат но выдавать пользователю скачивать?

[Антон Шаманов]

altkov, echo/print

Answer 2

[Дмитрий Свиридов]

Вот что вам нужно - https://stackoverflow.com/a/15064283. В переменной $str должен быть генерируемый php-код. Я бы это php-код с помощью Twig рендерил и записывал в переменную $str. Название переменной, конечно, надо нормальное дать вместо $str. Это пример просто.

Comments

[FanatPHP]

Твиг здесь не подойдет. У него нет из коробки фильтра, который экранирует РНР строки.
самый простой вариант - sprintf

Answer 3

[Антон Шаманов]

храни сгенерированый код в базе если его хранение это принципиально.