PHP pregunta de seguridad

Im bastante seguro de que esto es totalmente bien, pero por alguna razón estoy paranoico sobre ella ya que no suelen nunca tirar nada sin filtrar en una incluir o hacer algo como esto, pero ¿alguien sabe de cualquier caso en que esto no es seguro y puede ser explotado de alguna manera?



Yo normalmente uso una sentencia switch para este tipo de cosas con los valores pre-llenado, pero su demasiado largo y yo no lo quiero por otras razones.

No es comprobar si $ _REQUEST ["página"] existe antes de usarlo. El código podría exponer una ruta de archivo a través de un aviso de error en función del valor de error_reporting.

¿Tiene algo como esto te hacen pensar de forma diferente?

Pues sí, no es verificar si la solicitud existe en este ejemplo, se omitió esa línea, la teoría más o menos de todos modos.

Nunca he visto que strcspn () que yo recuerde, yo también metido con él, me parece a devolver sólo el int mismo o, a veces la misma entrada, independientemente de si la cadena contiene o no contiene los caracteres, ¿estás seguro de que la función es un filtro fiable? Me parece interesante sin embargo.

llamar a Niza el que is_readable () para el error ruta del archivo. Tengo un montón de páginas de modo que puede ser bueno, pero la pregunta...Es is_readable () es lenta? Im tratando de mantener la carga de las páginas optimizadas.

Gracias un montón Joe

strcspn puede ser un poco confuso. Regularmente tienen que consultar el manual después de pasar un tiempo sin usarlo porque me strcspn y strspn mezclado porque hacer lo contrario. Aunque tengo una idea para recordar cuál es cuál en este momento y la enfermedad llega a eso más adelante.

strcspn básicamente busca personajes que no están en esa máscara de caracteres. En el manual,



Si a rastrear a la función en la fuente, se llega a esta donde se puede ver cómo funciona internamente la función. Simplemente camina a través de la cadena en busca de algo que no espera, entonces busca algo que no espera y devuelve la longitud de dicho segmento.

etc / standard / string.c: 1571



Cualquier devolución strcspn vez que un número distinto de cero, theres su mala disposición en la entrada y que sobrescribir la entrada completa mal con el valor predeterminado. Esto es sólo un simple curso de acción después de encontrar una entrada incorrecta, en realidad, probablemente terminaría en busca de errores posible, comprobar una tabla 301, o algo por el estilo.

Ahora, en cuanto a ese truco para recordar que función hace que he mencionado antes, la enfermedad tienen que pedir prestado un comentario del manual de PHP.



Si mal no recuerdo strcspn y strspn como clases de personajes a partir de expresiones regulares, sólo tengo que recordar que en una clase de caracteres negada existe ese personaje extra "^" y en el nombre de la función strcspn también hay un personaje extra "c".

-

Realmente no puedo decir mucho sobre is_readable, lo uso en el ejemplo, porque el tono de la conversación parece ser la seguridad y el error-prevension-sabio es is_readable menos propenso a los accidentes que algo como file_exists. Yo prefiero usar file_exists. Im bastante bueno sobre la fabricación de seguro que algo va a funcionar antes de que entre en vigor, mediante el uso de valores por defecto como yo Im no va a obtener un error sobre un archivo ilegible, salvo en una falla catastrauphic, y theres ninguna razón para mi para cambiar los permisos de archivos más adelante.

Maldita sea esa función PHP es confuso. Pensé que me descargado una copia de la fuente de código PHP cuando (si puedo entender la mitad de ella). Me imaginé que debe valer la pena teniendo en cuenta que seguir mostrando que a mí en las discusiones.

De todos modos, creo que tenemos un hombre problema. Digamos que tuvo la siguiente secuencia de comandos...



Si la página es "abc", entonces el resultado es: 0
Si la página es "dabc", entonces el resultado es: 1
Si la página es "abcd", entonces el resultado es: 0 (Sí, CERO, uh oh)

Así que en realidad no se puede confiar en que para la seguridad con tristeza.

Bueno, eso es un problema. Me atrevo a decir que incluso parece un error en la función.

¿Qué acerca del uso de strspn en combinación con strlen entonces?

lol, creo que Im que va a seguir con expresiones regulares y CType si necesito o alguna otra cosa, el hombre gracias. jaja

Sí, hice un montón de grep-ción después de ese puesto y llegar a descubrir que no uso la función strcspn en cualquier lugar en cualquiera de mis sitios o secuencias de comandos. Creo que es una de esas cosas que suena como una muy buena idea un día pero nunca llegó a aplicar.

He enviado un informe de error documentación para PHP.net, necesita ser más claro en la descripción de la función que cuando dicen "inicial", significa el inicio del sujeto de prueba, y no la sección inicial de los personajes malos resultados.

ah cool

Recibió una respuesta a mi informe de fallo para el manual de PHP en strcspn, theres ahora un ejemplo de código en la copia de SVN del manual, el manual en línea debe seguir tarde o temprano.

http://svn.php.net/viewvc/?view=revisio ... ion=302077

lol, agradable.