php - クエリ文字列の安全性と変数補間

Question

PHP にあまり詳しくありませんが、ユーザーが変数補間を利用してシークレットの値を取得することは可能ですか?

<?php 
    $secret = 'hidden data';
    echo $_GET['id'];
?>

ID を渡そうとしました: $secret、%24secret、${secret}、{$secret}、%7D%24secret%7D、%24%7Dsecret%7D。これまでのところ安全に見えますが、何も見逃していないことを確認したいだけです。前もって感謝します。

score 3 · Accepted Answer

いいえ、ユーザーがこの方法でハードコードされた文字列を取得することは不可能です。

score 1 · Accepted Answer

いいえ。

ただし、htmlentities($_GET["id"])とにかく使用してください。そうしないと、クロスサイトスクリプティング攻撃（ログインCookie、セッションデータなどを盗む）を使用できるためです。

2 に答える 2