Italiano
Español
RomânăКак правильно валидировать данные из $_GET или $_REQUEST с помощью функций WordPress?
Я работаю над плагином, который требует динамического управления выводом контента. Это полностью зависит от текущей переменной $_GET или $_REQUEST.
В зависимости от значения переменной будет вызываться определенный метод класса для обработки запроса пользователя и вывода соответствующего контента.
Я полностью ознакомлен со страницей Валидации данных в WordPress Codex, однако не уверен, какой подход будет лучшим для моего сценария или любого другого случая санитизации переменных $_GET или $_REQUEST.
Как я могу санитизировать строку из переменной $_GET или $_REQUEST с помощью функций WordPress, если эта строка будет использоваться для вызова определенного метода класса?
Может ли этот код быть уязвимым для атак или вызвать ошибки?:
public function display_admin_page(){
if(is_admin() && isset($_GET['page'])){
global $content;
$page = sanitize_title($_GET['page']);
$method_name = 'page_'.str_replace('-', '_', $page);
if(method_exists('content', $method_name)){
// Отображаем запрошенную страницу из класса content
$thePage = $content->$method_name();
} else{
$thePage = $content->error(404);
}
echo $thePage;
}
}
@Chris_0, как насчёт запросов $_GET? Например, filter_var( $_GET[ $item['name'] ], FILTER_SANITIZE_FULL_SPECIAL_CHARS ). Нужно ли это реализовывать как-то по-другому?
Motivated
Не могли бы вы подробнее рассказать о теории потенциальной уязвимости?
Michael Ecklund
Конечно, это то, о чем нужно подумать. Каждый публичный метод в вашем классе может быть вызван кем угодно в любое время. Это не автоматически делает его уязвимостью, но это важный момент для рассмотрения. Есть ли в вашем классе метод, который удаляет данные из базы? Есть ли метод, который выводит пароли пользователей? Будете ли вы добавлять другие методы, о которых нужно беспокоиться? И так далее.
SeventhSteel
Разве функция WordPress esc_sql() не является лучшим выбором?
gillespieza
@gillespieza конечно, это так, но в 2012 году эта функция была лучше. Это ответ 11-летней давности :)
Ciprian