HTMLフォームからポストパラメータを取得するコントローラーがあり、それらをモデルに送信して、配列をCassandraデータベースに挿入します。
これは NoSQL であるため、SQLInjection の証明ですが、ユーザーが 100k の投稿パラメーターをシミュレートしたり、必要のないパラメーターを追加したりするだけで、データベースに挿入される可能性があることを恐れています。必要な値だけが配列に残るようにするにはどうすればよいですか。
例：
$post = ['parent_id', 'type', 'title', 'body', 'tags']; // Good
$post = ['parent_id', 'type', 'title', 'body', 'tags', 'one', 'two', 'three'] // Bad
私の配列が良い例ではないすべての要素を設定解除することを確認するにはどうすればよいですか?
期待するエントリをホワイトリストに登録する。
<?php
$post = array(
'parent_id' => 1,
'type' => 'foo',
'title' => 'bar',
'body' => 'foo bar',
'tags' => 'foo, bar',
'one' => 'foo',
'two' => 'bar',
'three' => 'qux'
);
$whitelist = array(
'parent_id',
'type',
'title',
'body',
'tags'
);
$filtered = array_intersect_key( $post, array_flip( $whitelist ) );
var_dump( $filtered );
とにかく、Cassandra をデータ ストアとして使用することは、もちろん、受け取ったデータの検証を行わない理由にはなりません。
あなたが探しているarray_intersect：
$good = ['parent_id', 'type', 'title', 'body', 'tags'];
$post = ['parent_id', 'type', 'title', 'body', 'tags', 'one', 'two', 'three'];
print_r(array_intersect($good, $post));
もちろん、この特定の例は配列値array_intersect_keyで機能するためあまり意味がありませんが、キーに基づいて同じことを行うものもあります。
多次元配列はどうですか？この解決策について数時間調査しましたが、最適な解決策はどこにも見つかりませんでした。だから、自分で書いた
function allow_keys($arr, $keys)
{
$saved = [];
foreach ($keys as $key => $value) {
if (is_int($key) || is_int($value)) {
$keysKey = $value;
} else {
$keysKey = $key;
}
if (isset($arr[$keysKey])) {
$saved[$keysKey] = $arr[$keysKey];
if (is_array($value)) {
$saved[$keysKey] = allow_keys($saved[$keysKey], $keys[$keysKey]);
}
}
}
return $saved;
}
使用: 例
$array = [
'key1' => 'kw',
'loaa'=> ['looo'],
'k' => [
'prope' => [
'prop' => ['proo', 'prot', 'loolooo', 'de'],
'prop2' => ['hun' => 'lu'],
],
'prop1' => [
],
],
];
コール:例
allow_keys($array, ['key1', 'k' => ['prope' => ['prop' => [0, 1], 'prop2']]])
出力：
Array ( [key1] => kw [k] => Array ( [prope] => Array ( [prop] => Array ( [0] => proo [1] => prot ) [prop2] => Array ( [hun] => lu ) ) ) )
そのため、多次元配列から必要なキーのみを取得できます。「多次元」に限らず、配列を渡して使うこともできます
['key1', 'loaa']
あなたが得る出力：
Array ( [key1] => kw [loaa] => Array ( [0] => looo ) )
乾杯！
連想配列を扱っていてarray_intersect_key()、何らかの理由で使用したくない場合は、古い配列から必要な値を使用して新しい配列を手動で作成する、より簡単な方法を実行することもできます。
$post = array(
'parent_id' => 1,
'type' => "post",
'title' => "Post title",
'body' => "Post body",
'tags' => "Post tags",
'malicious' => "Robert'); DROP TABLE students;--"
);
$good = array(
'parent_id' => $post['parent_id'],
'type' => $post['type'],
'title' => $post['title'],
'body' => $post['body'],
'tags' => $post['tags']
);
これは $post_allowed と同じものを出力します。$post_allow にも存在する $post_input の値のみを許可します。
$post_allowed = ['parent_id', 'type', 'title', 'body', 'tags'];
$post_input = ['parent_id', 'type', 'title', 'body', 'tags', 'one', 'two', 'three'];
$post = array_intersect($post_input, $post_allowed);
これはホワイトリストと呼ばれます。これは$_POST連想配列であるため、あなたの例は誤解を招きます。
$post = [
'parent_id' => 'val',
'type' => 'val',
'title' => 'val',
'body' => 'val',
'tags' => 'val',
'one' => 'val',
'two' => 'val',
'three'=>'val',
];
$whitelist = ['parent_id', 'type', 'title', 'body', 'tags'];
$sanitized_post = array_whitelist_assoc($post, $whitelist);
これは連想配列用に作成したホワイトリスト関数です。
if(!function_exists('array_whitelist_assoc')){
/**
* Returns an associative array containing all the entries of array1 which have keys that are present in all the arguments when using their values as keys.
*
* @param array $array The array with master keys to check.
* @param array $array2 An array to compare keys against its values.
* @return array $array2,... A variable list of arrays to compare.
*
*/
function array_whitelist_assoc(Array $array1, Array $array2) {
if(func_num_args() > 2){
$args = func_get_args();
array_shift($args);
$array2 = call_user_func_array('array_merge', $args);
}
return array_intersect_key($array1, array_flip($array2));
}
}
配列交差を使用します。array intersect、それはあなたを助けます。