php - curlで取得する前に、$ _ POST内のファイル名をサニタイズする必要がありますか？

Question

varは、完全なファイル仕様のファイル名部分にすぎません。

例えば：

$file = $_POST['name'];
curl_exec("https:/example.com/some_api/".$file.".json");

ちなみに、すべての有効なリクエストは1つのドメインから投稿されます。

Answer 1

これはセキュリティの問題を引き起こす可能性があるため（安全のために）サニタイズする必要はありません（curlおそらくすでにそのようなものを処理しています）が、urlencodeそれが機能するためにサニタイズする必要があるかもしれません。一方、そうする必要はない urlencodeかもしれませんが、_POSTパラメータはurldecode自動的にdになるため、最初のダブルエンコーディングが必要になります。

ちなみに、これは間違っています。URLではなくリソースを使用curl_execする必要があります。curl必要ですcurl_exec(curl_init($url))（ただし、オプションなどを設定する必要がある場合があります）。

Answer 2

安全のために、あなたはそれをしたいかもしれませんurlencode()。

$file = urlencode($_POST['name']); 

そうすれば、誰かが何か派手なことをしようとしても、それはより安全になります。