Wie kann man $_SERVER['PHP_SELF'] sichern?

Question

Ich verwende den folgenden Code zur Steuerung der Paginierung. Es verwendet $_SERVER['PHP_SELF'], also wollte ich wissen, ob dies sicher ist oder was ich tun muss, um $_SERVER['PHP_SELF'] sicher zu machen?

 10) {
        echo '
        Nächste';
    } 

    $prev = $startrow - 10;

    if ($prev >= 0) {
        echo '
        Vorherige';
    }

?>

Answer 1

Sie sollten filter_input verwenden: http://php.net/filter_input

$phpSelf = filter_input(INPUT_SERVER, 'PHP_SELF', FILTER_SANITIZE_URL);

Verwenden Sie dann $phpSelf anstelle von $_SERVER['PHP_SELF'].

Dies ist besser als htmlspecialchars, aber eine ideale Lösung wäre die Verwendung eines Tools wie http://htmlpurifier.org/

Answer 2

Zur Verhinderung von XSS-Angriffen sollten Sie htmlspecialchars() oder filter_input() verwenden, um $_SERVER['PHP_SELF'] zu escapen. Siehe diese Frage für weitere Informationen.

Beachten Sie auch, dass wenn Sie ein href-Attribut mit ? und ohne Pfad starten, der Browser die folgende Abfragezeichenkette an die aktuelle Anforderung anhängen wird, ähnlich wie ein relativer Link im selben Verzeichnis angehängt würde.

Ich gehe davon aus, dass Sie $prev und $startrow an anderer Stelle bereinigen. Die mathematischen Vergleiche sollten sie sicher machen, aber wenn sie von $_GET kommen, ist es eine gute Idee, sie vorher durch intval() laufen zu lassen, bevor Sie etwas anderes tun.

Answer 3

$_SERVER['PHP_SELF'] ist bereits sicher in dem Sinne, dass kein Zeichen Änderungen an Ihrer HTML-Syntax verursachen kann, die Sie veröffentlichen möchten. Das einzige ist der Dateiname selbst.

Normalerweise sollten Sie Methoden wie htmlspecialchars verwenden, um die Ausgabe vor der Veröffentlichung im Browser zu bereinigen.