Italiano
Română
РусскийCómo validar correctamente datos de $_GET o $_REQUEST usando funciones de WordPress
Estoy trabajando en un plugin que requiere manipulación dinámica del contenido mostrado. Esto depende completamente de la variable actual $_GET o $_REQUEST.
Dependiendo de qué valor tenga la variable, llamará a un método específico de una clase para manejar la solicitud del usuario y mostrar el contenido adecuado.
Estoy completamente consciente de la página de Validación de Datos en el Codex de WordPress, sin embargo, no estoy seguro de cuál es el mejor enfoque para mi escenario, o cualquier escenario de sanitización de variables $_GET o $_REQUEST.
¿Cómo puedo sanitizar usando funciones de WordPress para variables $_GET o $_REQUEST cuando se trata de un string que será comparado para llamar a un método específico de una clase?
¿Podría esto ser explotado o fallar con el siguiente código?:
public function display_admin_page(){
if(is_admin() && isset($_GET['page'])){
global $content;
$page = sanitize_title($_GET['page']);
$method_name = 'page_'.str_replace('-', '_', $page);
if(method_exists('content', $method_name)){
// Mostrar la página solicitada desde la clase content
$thePage = $content->$method_name();
} else{
$thePage = $content->error(404);
}
echo $thePage;
}
}
@Chris_0, ¿qué hay acerca de las solicitudes $_GET? Por ejemplo, filter_var( $_GET[ $item['name'] ], FILTER_SANITIZE_FULL_SPECIAL_CHARS ). ¿Debería implementarse esto de una manera diferente?
Motivated
¿Podrías ampliar más sobre la teoría del posible exploit?
Michael Ecklund
Claro, me refiero a que es algo que debes analizar. Cada método público en tu clase puede ser forzado a ejecutarse por cualquier persona en cualquier momento. Eso no es automáticamente un exploit, pero es una consideración. ¿Hay algún método en tu clase que elimine de tu base de datos? ¿Hay algún método que muestre las contraseñas de tus usuarios? ¿Agregarás en el futuro otros métodos que puedan ser preocupantes? Etc.
SeventhSteel
¿No es la función de WordPress esc_sql() una mejor opción?
gillespieza
@gillespieza por supuesto que lo es, pero en 2012 esa función es mejor. Es una respuesta de hace 11 años :)
Ciprian