"đủ sanitization" là gì cho một URL

Question

URL sẽ được

1. lưu cơ sở dữ liệu MySQL
2. Được sử dụng để hiển thị một hình ảnh trên profile của người dùng

sẽ strip_tags() và mysql_real_escape_string() là đủ?

Answer 1

"Đủ vệ sinh" hoàn toàn phụ thuộc vào môi trường bạn đang nói đến. Sanitization cho MySQL nên được xem xét hoàn toàn riêng biệt từ vệ sinh cho đầu ra web và bạn nên xử lý chúng một cách riêng biệt để tránh nhiều rắc rối.

Vệ sinh cho MySQL

• mysql_real_escape_string() sẽ khử trùng một phần dữ liệu và làm cho nó an toàn để đặt bên trong một truy vấn SQL.
• Bất kỳ loại dữ liệu độc hại nào khác, chẳng hạn như thẻ HTML bên trong chuỗi, phải được bỏ qua hoàn toàn. Cố gắng thao tác nó ở đây sẽ dẫn bạn đến đau đầu khi bạn cố gắng "bỏ thao tác" nó sau này sau khi lấy nó ra khỏi cơ sở dữ liệu. Dữ liệu web "xấu" không thể gây hại cho cơ sở dữ liệu của bạn.

Vệ sinh cho đầu ra

• htmlspecialchars($val) lúc đầu ra sẽ ngăn chặn bất kỳ thẻ độc hại khỏi bị trả lại, vì < và > nhân vật được chuyển đổi thành cơ quan đại diện tổ chức của họ và không trả lại như delimiters thẻ.
• Sử dụng modifier ENT_QUOTES nếu bạn đang cung cấp một cái gì đó bên trong thuộc tính dẫn lời một phần tử HTML, chẳng hạn như <input name="email" value="<?php echo htmlspecialchars($email,ENT_QUOTES); ?>" />

Đó nên là tất cả các bạn cần, trừ khi bạn có yêu cầu đặc biệt. strip_tags() không thực sự được sử dụng để vệ sinh, vì nó có thể bị lừa với HTML được tạo thành sai. Sanitization là một mục tiêu xứng đáng, và nếu bạn có thể giữ cho bối cảnh của bạn riêng biệt, bạn sẽ gặp phải ít vấn đề hơn với thao tác dữ liệu giữa chúng.

Answer 2

Có thể an toàn hơn và tốt hơn để gọi htmlentities() trên chuỗi thay vì đếm trên strip_tags().

strip_tags() sẽ không loại bỏ ký tự html đặc biệt như '"&

ví dụ, nếu mã của bạn là:

<img src="<?= strip_tags($myVar) ?>"> 

và

$myVar = '">something goes here<'; 

sau đó bạn kết thúc với:

<img src="">something goes here<"> 

Đó là khá rõ ràng là gốc của một lỗ XSS; một khai thác thực sự được để lại như một bài tập cho người đọc.

Answer 3

tôi ban đầu upvoted câu trả lời của Frank, nhưng nghĩ đến một vấn đề: htmlentities() sẽ phá vỡ các url quy phạm pháp luật như thế này:

http://www.mywebsite.com/profile?id=jojo&w=60&h=60

lẽ tước dấu ngoặc nhọn + mysql_real_escape sẽ là đủ?