Как проверять входные данные, чтобы нельзя было выполнить произвольный код?

Question

[Максим Вязников]

Такой вот теоретический вопрос. Допустим, есть форма ввода с полем типа text, оно передается в скрипт и записывается в переменную, далее эта переменная используется в различных функциях и в различных вариациях.

Посмотрел в разных движках, там в самом начале делается что-то вроде

$post_text = trim($_POST['text']);
$post_text = preg_replace('# +#is', ' ', $post_text);
$post_text = mb_substr($post_text, 0, 5000);
$post_text = htmlspecialchars($post_text, ENT_QUOTES);
$post_text = mysql_real_escape_string($post_text);

Последнее используется перед запросом к бд.

А вот если данные из POST фигурируют только в виде переменной в разных функциях, то на что следует обратить внимание?

Answer 1

[Дмитрий]

Все что делается сначала, нужно для вывода, то что в конце для записи в базу. По нормальному, надо чистые данные писать в базу, делая эскейп, и при выводе делать замены для защиты от xss.
Например у нас форум, куча ббкодов или маркдаун, вставки кода, если сразу все применить, то на выходе придётся делать обратно конвертер, чтоб оно работало

Comments

[Максим Вязников]

Спасибо. А не подскажете на конкретном примере, вот нашёл такой вариант для поиска по файлам https://stackoverflow.com/questions/8032312/find-s...

Добавил $needle = "_GET['query']";
Т.е. ничего с параметрами из get делать не нужно?
А вот если, скажем, выводить echo 'вы искали' . $needle;
То тогда уже htmlspecialchars() ?

И по поводу real_escape_string(), это только при записи в базу?
Просто смотрю разные движки, и там то так, то этак.
Иногда используется только при записи, иногда ещё и при чтении.

[Дмитрий]

Максим Вязников, да так, экранирование в запросе всегда, как на селект, так и на инсерт и прочее

Answer 2

[FanatPHP]

В ужасе
Выкинуть
Это всё
На помойку

Про "движки", в которых это вычитал - забыть.
Вместо этого освоить какой-нибудь фреймворк с нормалным шаблонизатором.

Answer 3

[xmoonlight]

На все входные данные - regex-фильтр: свой на каждый тип или переменную!
preg_match()