Какие риски существуют при использовании извлеченных суперглобальных PHP-файлов?

Question

Hola usando estas funciones, que riesgo corro en tener problemas de seguridad, es necesesario usar extract() o hay alguna manera mejor de convertir las variables superglobales (array) en trozos de variables.

---

Хорошо, есть некоторый риск при использовании функции экстракта в суперглобальных переменных, как $ _POS и $ _GET, я работаю по следующим образом.

Существует риск SQL Injection или есть альтернатива для извлечения

if(get_magic_quotes_gpc()) { 
    $_GET = stripslashes($_GET); 
    $_POST =stripslashes($_POST); 
} 

function vars_globals($value = '') { 
    if(is_array($value)) 
     $r = &$value; 
    else 
     parse_str($value, $r); 

    return $r; 
} 

$r = vars_globals($_GET); 

extract($r, EXTR_SKIP); 

Answer 1

Да, есть риск. Вы не хотите слепо импортировать пользовательский ввод в свою таблицу символов. Вы должны потратить время на проверку и/или дезинфекцию ввода пользователя. Функция filter_var может помочь в этом.

При вставке в базу данных используйте механизм выключения водителя, чтобы исключить возможность впрыска. Если вы используете функции mysql_ *, вы должны использовать mysql_real_escape_string. Однако для этого гораздо лучше использовать PDO и параметризованные запросы.