Проверка данных с помощью WordPress

При создании любого вида веб-приложений вам необходимо сосредоточиться на безопасности , одной из областей безопасности, которая является обязательной, является проверка данных.

Данные в вашем веб-приложении могут поступать из многих источников, пользователей системы, третьих лиц или из вашей собственной базы данных, все должно быть проверено перед сохранением в вашей базе данных.

Не доверяйте никаким данным от пользователя системы. Если пользователь должен что-то ввести в поле ввода, то, скорее всего, это значение будет использоваться для добавления данных в базу данных или для получения данных из базы данных. Поэтому вы даете этим данным доступ к вашей базе данных … не доверяйте ей.

Данные, поступающие от злоумышленников, являются наиболее распространенной причиной проблем безопасности. Это может быть переполнение буфера, внедрение SQL, межсайтовый скриптинг XSS и т. Д. Вот почему вы должны проверять любые входные данные в своем веб-приложении.

С точки зрения WordPress, если вы разработали плагин с панелью настроек, вы должны убедиться, что вы проверяете эти входные данные. Вы можете подумать, что это в административной области, администратор не собирается пробовать внедрение SQL на своем собственном сайте? Но что, если это на сайте с несколькими авторами, несколько разных людей могут иметь доступ к странице настроек плагина.

К счастью, с WordPress он поставляется с рядом встроенных функций, которые помогают с проверкой данных .

Вывести как целое число

Если у вас есть переменная в PHP и вы хотите убедиться, что она всегда будет целочисленной, то у вас есть две опции: вы можете использовать функцию PHP intval ($ int) или преобразовать переменную в целое число, используя (int) $ int.

intval( $int );
echo intval(42);                      // 42
echo intval(4.2);                     // 4
echo intval('42');                    // 42
echo intval('+42');                   // 42
echo intval('-42');                   // -42
echo intval(042);                     // 34
echo intval('042');                   // 42
echo intval(1e10);                    // 1410065408
echo intval('1e10');                  // 1
echo intval(0x1A);                    // 26
echo intval(42000000);                // 42000000
echo intval(420000000000000000000);   // 0
echo intval('420000000000000000000'); // 2147483647
echo intval(42, 8);                   // 42
echo intval('42', 8);                 // 34
echo intval(array());                 // 0
echo intval(array('foo', 'bar'));     // 1

(int) $int

Выходные данные будут такими же, но для производительности я склонен использовать опцию приведения.

Вывод как поплавок

Если вы хотите проверить, является ли значение переменной плавающей точкой, вы можете использовать функцию PHP floatval ($ float) .

$var = '122.34343The';
$float_value_of_var = floatval($var);
echo $float_value_of_var; // 122.34343

Или вы можете привести значение, используя (float) приведение.

$var = '122.34343The';
$float_value_of_var = (float) $var;
echo $float_value_of_var; // 122.34343

Проверить элементы HTML

Когда вам нужно убедиться, что выходной HTML-элемент со стороны сервера сформирован правильно, вы можете использовать функцию WordPress wp_kses () . Эта функция гарантирует, что в строке разрешены только разрешенные элементы HTML, имена атрибутов и значения.

<?php echo '';  ?>

$safe_string = sanitize_text_field ($val);

$new_url = sanitize_title('Wordpress will convert this to be used in the URL of the post');
echo $new_url; //wordpress-will-convert-this-to-be-used-in-the-URL-of-the-post

echo '
<div class="' . esc_attr( sanitize_html_class($post_class) ) . '">';