php - 以下のphpコードにはセキュリティリスクがありますか？

Question

page1.php

<form method="post" action="page2.php">
<textarea name="tryit" cols="!20" rows="10"></textarea>
</form>

2.phpページ

<?php
echo filter_input(INPUT_POST, 'tryit', FILTER_SANITIZE_SPECIAL_CHARS);
?>

ユーザーにシステムコードを実行させたり、システム関数を呼び出したりしたくないだけです。

ありがとう

score 1 · Accepted Answer

フラグを使用するとHTMLの特殊文字がエンコードされ、XSSの脆弱性が防止されるためfilter_input()、コードはXSSの観点から安全です。FILTER_SANITIZE_SPECIAL_CHARS

FILTER_SANITIZE_SPECIAL_CHARS
HTML-escape'"<>＆およびASCII値が32未満の文字。オプションで、他の特殊文字を削除またはエンコードします。

それは次と同じです：

echo htmlspecialchars($_POST['tryit']);

コードを別のコンテキスト、たとえばSQLクエリに移動すると、安全ではなくなります。特殊な文字エンコードは、XSSの防止に固有のものです。

score 0 · Accepted Answer

htmlspecialcharsを使用します。これ& ' " < >により、すべての特殊なhtml文字が置き換え& ' " < >られます。以降、通常の文字として表示されます。

score 0 · Accepted Answer

このコードスニペットは、オペレーティングシステムの機能やシェルコマンドを実行しません。

filter_inputシステム機能も実行しません。

page2が受け取ったものはすべてテキストとしてのみ表示さPOSTれます。

に保存されている値$_POST['tryit']は影響を受けません。その変数に再度アクセスするとき（またはHTMLエスケープされたバージョンをどこかに保存するとき）は、個別にサニタイズする必要があります。

filter_input一般的には使用されていません。代わりに、特定のエスケープ機能を使用できます。

3 に答える 3