Español
Română
РусскийCome validare correttamente i dati da $_GET o $_REQUEST utilizzando le funzioni di WordPress?
Sto lavorando a un plugin che richiede la manipolazione dinamica dell'output dei contenuti. Questo dipende esclusivamente dalla variabile $_GET corrente o dalla variabile $_REQUEST.
A seconda di come è impostata la variabile, verrà chiamato un determinato metodo della classe per gestire la richiesta dell'utente e visualizzare il contenuto appropriato.
Sono pienamente consapevole della pagina Validazione dei Dati sul Codex di WordPress, tuttavia non sono sicuro di quale sia l'approccio migliore per il mio scenario, o per qualsiasi scenario di sanitizzazione delle variabili $_GET o $_REQUEST.
Come posso sanitizzare utilizzando le funzioni di WordPress per una variabile $_GET o $_REQUEST quando si tratta di una stringa che verrà confrontata per chiamare un metodo specifico di una classe?
Questo codice potrebbe essere sfruttato o fallire nelle seguenti condizioni?:
public function display_admin_page(){
if(is_admin() && isset($_GET['page'])){
global $content;
$page = sanitize_title($_GET['page']);
$method_name = 'page_'.str_replace('-', '_', $page);
if(method_exists('content', $method_name)){
// Visualizza la pagina richiesta dalla classe content
$thePage = $content->$method_name();
} else{
$thePage = $content->error(404);
}
echo $thePage;
}
}
@Chris_0, e per le richieste $_GET? Ad esempio, filter_var( $_GET[ $item['name'] ], FILTER_SANITIZE_FULL_SPECIAL_CHARS ). Dovrebbe essere implementato in modo diverso?
Motivated
Potresti gentilmente elaborare ulteriormente la teoria del potenziale exploit?
Michael Ecklund
Certo, intendo dire che è qualcosa che devi semplicemente analizzare a fondo. Ogni metodo pubblico nella tua classe può essere forzato a essere eseguito da chiunque in qualsiasi momento. Questo non è automaticamente un exploit, ma è una considerazione da fare. C'è un metodo nella tua classe che elimina dal tuo database? C'è un metodo che stampa le password dei tuoi utenti? Aggiungerai mai altri metodi di cui dovrai preoccuparti? Ecc.
SeventhSteel
La funzione WordPress esc_sql() non è una scelta migliore?
gillespieza
@gillespieza naturalmente lo è, ma nel 2012 quella funzione era migliore. È una risposta di 11 anni fa :)
Ciprian