Проверка входных данных с использованием функций фильтра

Я хотел бы начать с этой статьи, поблагодарив вас за то, что сделали это даже так далеко. Я полностью осознаю, что «Проверка входных данных с использованием функций фильтра» — это не самый сексуальный заголовок статьи в мире!

Функции фильтрации в PHP могут быть не очень привлекательными, но они могут улучшить стабильность, безопасность и даже удобство сопровождения вашего кода, если вы научитесь правильно их использовать.

В этой статье я объясню, почему проверка ввода важна, почему важно использовать встроенные функции PHP для выполнения проверки ввода, а затем filter_input() несколько примеров (а именно использование filter_input() и filter_var() ), обсудим некоторые потенциальные ловушки, и закончите с красивым, сочным призывом к действию. Звучит неплохо? Пошли!

Почему проверка входных данных важна

Проверка ввода — это одна из самых важных вещей, которую вы можете сделать для обеспечения безопасности кода, потому что ввод часто является той единственной вещью в вашем приложении, которую вы не можете напрямую контролировать. Поскольку вы не можете контролировать это, вы не можете доверять этому.

К сожалению, как программисты мы часто пишем вещи, думая только о том, как мы хотим, чтобы они работали. Мы не учитываем, как кто-то другой может заставить их работать — из любопытства, невежества или злобы.

Я не буду вдаваться в подробности о проблеме, с которой вы можете столкнуться, если вы не подтвердите ввод данных пользователем; На этом самом сайте есть действительно хорошая статья под названием PHP Security: Атаки с использованием межсайтовых сценариев, если вы хотите прочитать об этом. Но я скажу, что проверка вашего ввода — это первый шаг к тому, чтобы гарантировать, что написанный вами код будет выполнен так, как задумано.

Может быть, вы переходите на PHP с другого языка, и вы можете подумать: «Это никогда не было проблемой раньше, так почему меня это должно волновать?». Причина в том, что проверка правильности заключается в том, что PHP имеет свободную типизацию. Это делает PHP отличным для некоторых вещей, но это может сделать такие вещи, как проверка данных, немного сложнее, потому что вы можете в значительной степени передать что угодно чему угодно.

Почему важно использовать встроенные методы

Чтобы попытаться сделать проверку немного проще, начиная с PHP 5.2.0, мы можем теперь использовать функции filter_input() и filter_var() . Я расскажу о них более подробно в ближайшее время, но сначала я хочу поговорить о том, почему мы должны использовать предоставляемую PHP функциональность, а не полагаться на свои собственные методы или сторонние инструменты.

Когда вы применяете свои собственные методы проверки, вы обычно попадаете в ту же ловушку, в которую можете попасть при разработке других функций: вы думаете о крайних случаях, о которых вы хотите подумать, а не обязательно о всех различных векторах, которые можно использовать для маскировки. определенный вклад. Другая проблема заключается в том, что если вы чем-то похожи на меня, первые 10 минут любого обзора кода, касающегося свернутого вручную кода проверки, тратятся на то, чтобы сделать это, потому что программист сделал не совсем то, что сделал бы вы. Это может привести к тому, что программисты будут тратить больше времени на изучение кодовой базы и чтение внутренней документации, которую вместо этого можно было бы потратить на кодирование.

Некоторые люди не катят свои собственные, а вместо этого выбирают стороннее решение. Есть несколько хороших, и в прошлом я использовал OWASP ESAPI для дополнительной проверки. Это лучше, чем, возможно, ручные решения, потому что на них смотрят больше глаз, но тогда у вас есть проблема с введением стороннего кода в ваш проект. Опять же, это увеличивает время, затрачиваемое на изучение кодовой базы и чтение дополнительной документации вместо кодирования.

По этим причинам лучше использовать нативные функции; Более того, поскольку такие функции встроены в язык, это означает, что у нас есть одно место для всей документации PHP. У новых разработчиков будет больше шансов узнать, что такое код и как его лучше всего использовать. Это будет легче поддерживать в результате этого.

Надеюсь, к настоящему моменту я убедил вас, что валидация важна и что было бы неплохо использовать функции PHP, чтобы помочь вам достичь ваших потребностей в валидации. Если вы не уверены, оставьте комментарий и давайте обсудим его.

Несколько примеров

Функция filter_input () была введена в PHP 5.2.0 и позволяет вам получать внешнюю переменную по имени и фильтровать ее. Это невероятно полезно при работе с данными $_GET и $_POST .

Давайте возьмем в качестве примера простую страницу, которая считывает значение, переданное из URL, и обрабатывает его. Мы знаем, что это значение должно быть целым числом от 15 до 20.
Один из способов сделать что-то вроде:

 <?php if (isset($_GET["value"])) { $value = $_GET["value"]; } else { $value = false; } if (is_numeric($value) && ($value >= 15 && $value <= 20)) { // run my code } else { // handle the issue } 

 <?php $value = filter_input(INPUT_GET, "value", FILTER_VALIDATE_INT, array("options" => array("min_range" => 15, "max_range" => 20))); if ($value) { // run my code } else { // handle the issue } 

 <?php // This is a sample function, do not use this to actually email, // that would be silly. function emailUser($email) { mail($email, "Here is my email", "Some Content"); } 

 <?php // This is a sample function, do not use this to actually email, // that would be silly. function emailUser($email) { $email = filter_var($email, FILTER_VALIDATE_EMAIL); if ($email !== false) { mail($email, "Here is my email", "Some Content"); } else { // handle the issue invalid email address } }