Italiano
Español
РусскийCum să validezi corect datele din $_GET sau $_REQUEST folosind funcții WordPress?
Lucrez la un plugin care necesită manipularea dinamică a conținutului afișat. Acest lucru depinde în totalitate de variabila curentă $_GET sau $_REQUEST.
În funcție de valoarea variabilei, va apela o anumită metodă a clasei pentru a procesa cererea utilizatorului și a afișa conținutul corespunzător.
Sunt perfect conștient de pagina Validare Date din WordPress Codex, dar nu sunt sigur care este cea mai bună abordare pentru scenariul meu, sau orice scenariu de sancționare a variabilelor $_GET sau $_REQUEST.
Cum pot sancționa folosind funcții WordPress variabilele $_GET sau $_REQUEST pentru un șir de caractere care va fi folosit pentru a apela o anumită metodă de clasă?
Ar putea fi exploatat sau să eșueze codul următor?:
public function display_admin_page(){
if(is_admin() && isset($_GET['page'])){
global $content;
$page = sanitize_title($_GET['page']);
$method_name = 'page_'.str_replace('-', '_', $page);
if(method_exists('content', $method_name)){
// Afișează pagina solicitată din clasa content
$thePage = $content->$method_name();
} else{
$thePage = $content->error(404);
}
echo $thePage;
}
}
@Chris_0, ce zici de cererile $_GET? De exemplu, filter_var( $_GET[ $item['name'] ], FILTER_SANITIZE_FULL_SPECIAL_CHARS ) Ar trebui implementat diferit?
Motivated
Ai putea să elaborezi mai mult, te rog, despre teoria potențialei exploatări?
Michael Ecklund
Desigur, este ceva la care trebuie să te gândești. Fiecare metodă publică din clasa ta poate fi forțată să ruleze de către oricine în orice moment. Asta nu înseamnă automat o exploatare, dar este o considerație. Există o metodă în clasa ta care șterge din baza ta de date? Există o metodă care afișează parolele utilizatorilor tăi? Vei adăuga vreodată alte metode despre care trebuie să fii îngrijorat? Și așa mai departe.
SeventhSteel
Nu este funcția WordPress esc_sql() o alegere mai bună?
gillespieza
@gillespieza desigur că este, dar în 2012 acea funcție era mai bună. Este un răspuns de acum 11 ani :)
Ciprian