¿Filter_var es una buena forma de hacerlo?

Question

¿Es filter_var bueno para el filtrado de datos? ¿Qué tipo de datos malos filtrará? Sí uso mysql_real_escape_string pero me pregunto si agregar filter_var ayudará?

Answer 1

Para defenderse de la inyección SQL, use declaraciones preparadas si es posible. Si no, use mysql_real_escape_string para strings, (int) casting o intval() para enteros, (float) o floatval() para floats y addcslashes ($ input, '% _') para cadenas que se usarán dentro de sentencias LIKE. Las cosas se complican aún más cuando intentamos escapar de las cadenas que se usarán dentro de las instrucciones RLIKE.

Para filtrar el contenido HTML, lo mejor sería strip_tags (sin pasar $ allowable_tags), pero ... no le guste/quiere, en cuyo caso la solución es más asequible:

$escaped = htmlspecialchars($input, ENT_QUOTES, $your_charset); 

Un una solución más confiable sería usar una biblioteca como HTML Purifier

Las funciones del filtro son correctas, pero algunas de ellas son más validadoras que filtros. Dependiendo de sus necesidades, puede encontrar algunos de ellos útiles.

Answer 2

Realmente depende de lo que estás tratando de hacer, realmente no puedo responder sin conocer detalles. Los filtros posibles y sus efectos se enumeran aquí: Types of filters

Answer 3

Ajuste filter_var utilizándolo con FILTER_* constants. Parece que está buscando sanitisation de datos (en realidad ajustando los datos para hacerlo seguro *) en lugar de validation (verificando que los datos estén seguros).

Diferentes filtros pueden ayudar con diferentes tareas. Mientras que mysql_real_escape_string está bien para desinfectar los datos para evitar la inyección de SQL, no sirve para generar datos que puedan contener HTML. He aquí un par de filtros de que haría uso para las tareas diarias:

• FILTER_SANITIZE_SPECIAL_CHARS - útil para la visualización (no eliminar) el código HTML, la prevención de ataques XSS y la conversión de los símbolos a entidades HTML.
• FILTER_SANITIZE_STRING con las banderas STRIP_LOW/HIGH - en realidad elimina HTML (ver strip_tags).
• FILTER_SANITIZE_URL - hace que las URL sean seguras *.
• FILTER_SANITIZE_EMAIL - hace las direcciones de correo electrónico seguras, aunque preferiría usar su primo de validación antes de almacenar la dirección.

* Yo uso seguro sin apretar, soy de la opinión de que nunca se puede estar demasiado seguro.

Answer 4

Basándome en algunas pruebas menores, he llegado a la conclusión de que las constantes de filter_var no son confiables.

Por ejemplo:

filter_var('a@b-.c', FILTER_VALIDATE_EMAIL); // valid 
filter_var('http://.', FILTER_VALIDATE_URL); // valid 
filter_var('a@b-.c', FILTER_SANITIZE_EMAIL); // a@b-.c 
filter_var('http://.', FILTER_SANITIZE_URL); // http://. 

Estos son claramente valores no válidos, pero pase filter_var 's constantes. No confíes en filter_var.

Answer 5

Todo depende de lo que signifique una url válida o un correo electrónico válido.

Por ejemplo a@b-.c - bien, podría filtrar dominios de nivel superior para excluir .c pero la lista de dominios de nivel superior no es constante. Además, todos los personajes son válidos. Aunque parece raro y casi seguro que no es válido, muchos filtros regex lo validarán también.

Con el correo electrónico a@b-.c o la url http://. si se muestran o utilizan en los enlaces, no harán ningún daño, incluso si no van a ninguna parte.

Creo que parte del problema es la cuestión de qué tan sueltos quieres tus filtros. Si la gran preocupación es XSS o inyección SQL o si no se previene la entrada peligrosa, si el valor es útil o no puede ser irrelevante, este tipo de filtro puede ser el truco.

Si quiere asegurarse de que el valor no solo sea seguro sino que también se pueda utilizar, es una bestia más complicada.