php - ホワイトリストを使用したドロップダウンオプションのサニタイズ

Question

ドロップダウンメニューでのホワイトリストの使用について説明しているhttps://www.owasp.org/index.php/Input_Validation_Cheat_Sheetのリンクを確認しました。

私が得られないのは、選択肢がすべてあるのに、なぜオプションのリストでホワイトリストを使用するのでしょうか。

名前の入力など、ユーザー入力で使用する理由は理解できますが、ユーザーが物理的に何かを入力していないため、オプションで使用する理由がわかりません。

それとも私はこれを間違って読んだことがありますか？

Answer 1

ユーザーは引き続きドロップボックス内のデータを変更して、ページにデータを送信できます。それが理由です。

Answer 2

あなたは彼らがあなたのフォームを使ってフォームプロセッサに投稿することを想定していますが、必ずしもそうとは限りません。

それとは別に、たとえばfirebugを使用してドロップダウンから値を変更し、その後フォームを投稿するのは簡単です。