temizleme $ _POST değişkenleri

Question

Tüm POST ve GET değişkenlerini tek bir işlevle etkin bir şekilde kolayca temizlemenin bir yolunu bulmaya çalışıyorum. İşte fonksiyon kendisidir:

//clean the user's input 
function cleanInput($value, $link = '') 
{ 
    //if the variable is an array, recurse into it 
    if(is_array($value)) 
    { 
     //for each element in the array... 
     foreach($value as $key => $val) 
     { 
      //...clean the content of each variable in the array 
      $value[$key] = cleanInput($val); 
     } 

     //return clean array 
     return $value; 
    } 
    else 
    { 
     return mysql_real_escape_string(strip_tags(trim($value)), $link); 
    } 
} 

Ve burada çağırır kod: çalışması lazım gibi Bana göre

//This stops SQL Injection in POST vars 
foreach ($_POST as $key => $value) 
{ 
    $_POST[$key] = cleanInput($value, $link); 
} 

//This stops SQL Injection in GET vars 
foreach ($_GET as $key => $value) 
{ 
    $_GET[$key] = cleanInput($value, $link); 
} 

bu görünüyor. Ama bir sebepten ötürü bir formda sahip olduğum bazı onay kutularından dizileri döndürmeyecek. Boş çıkıyorlar.

Yukarıdaki işlevleri kullanmadan kodumu test ettim ve iyi çalışıyor, sadece oraya eklenmiş biraz güvenlik istiyorum.

Teşekkürler!

Answer 1

istiyorum Yaptığın şey yeterli değildir ne yapacağını array_walk_recursive kullanabilir. Bakınız here.

Answer 2

Mümkünse filter_input'u kullanın (php5 +) Bunu çok daha temiz tutar ve kullandığınız her şeyi sterilize edip doğrulayabileceğinizi bildiğim kadarıyla.

Sen bütün sonrası dizi filtre filter var array ve örneğin FILTER_SANITIZE_STRING bayrağını kullanabilirsiniz

filter_var_array($_POST, FILTER_SANITIZE_STRING) //just an example filter 

filter reference

Answer 3

kontrolsüz onay kutularını sunucuya gönderilmez W3Schools'da geçerli farklı filtre seçenekleri yükler vardır .

Eğer

Answer 4

örneğin array_map gibi bir şey kullanabilirsiniz tekrarlama daha şık hale getirmek için:

$_POST = array_map('mysql_real_escape_string',$_POST); 

Kullanım filtresi var eğer yapabilirsiniz olsa yaklaşımlar bu tür olsa da, sadece bir örnektir genellikle kötü olarak;)

Answer 5

Bu, girişi temizlemenin yanlış yolu.

$_POST ve $_GET'da kesinlikle her şeye kaçan battaniye mysql uygulamasının uygulanması, bir veritabanı sorgusu yaptıktan sonra verileri kullanmak istiyorsanız ancak yine de sizden kaçış karakterleri istemiyorsanız Orada.

Mysqli veya PDO ile parametreli sorgular kullanın ve mysql_real_escape_string()'u kullanmanız gerekmeyecektir.