La última función de limpieza/seguro

Question

que tienen una gran cantidad de entradas de usuario desde $_GET y $_POST ... En el momento en que escribo siempre mysql_real_escape_string($_GET['var']) ..

me gustaría saber si se puede hacer una función que asegura, escapa y limpia las matrices $_GET/$_POST de forma inmediata, por lo que no tendrá que lidiar con ellas cada vez que trabaje con entradas de usuario y cosas así.

Estaba pensando en una función, por ejemplo cleanMe($input), y dentro de ella, se debe hacer mysql_real_escape_string, htmlspecialchars, strip_tags, stripslashes (creo que sería todo para que sea limpio & seguro) y luego devolver el $input.

¿Es esto posible? Haciendo una función que funcione para todos $_GET y $_POST, por lo que lo haría sólo esto:

$_GET = cleanMe($_GET); 
$_POST = cleanMe($_POST); 

Así que en su código más tarde, cuando se trabaja con por ejemplo $_GET['blabla'] o $_POST['haha'], están garantizados, despojados y así sucesivamente?

Probamos un poco de mi:

function cleanMe($input) { 
    $input = mysql_real_escape_string($input); 
    $input = htmlspecialchars($input, ENT_IGNORE, 'utf-8'); 
    $input = strip_tags($input); 
    $input = stripslashes($input); 
    return $input; 
} 

Answer 1

La idea de una función genérica de saneamiento es un concepto roto.

Hay uno método de saneamiento adecuado para cada propósito. Ejecutarlos de forma indiscriminada en una cadena a menudo la romperá: si escapas un código HTML para una consulta SQL, se romperá para usarlo en una página web, y viceversa. El saneamiento se debe aplicar justo antes de utilizando los datos:

• antes de ejecutar una consulta de base de datos. El método de saneamiento correcto depende de la biblioteca que use; que se enumeran en How can I prevent SQL injection in PHP?

• htmlspecialchars() para la salida HTML segura

• preg_quote() para su uso en una expresión regular

• escapeshellarg()/escapeshellcmd() para su uso en un comando externo

• etc., etc.

Utilizar una función de saneamiento "de talla única" es como usar cinco tipos de insecticidas altamente tóxicos en una planta que, por definición, solo pueden contener un tipo de error, solo para descubrir que sus plantas están infestadas por un sexto tipo, cual ninguno de los insecticidas funciona.

Utilice siempre ese método correcto, idealmente recto antes de pasar los datos a la función. Nunca mezclar métodos a menos que lo necesite.

Answer 2

No tiene sentido simplemente pasar la entrada a través de todas estas funciones. Todas estas funciones tienen diferentes significados. Los datos no se vuelven "más limpios" llamando a más funciones de escape.

Si desea almacenar entradas de usuario en MySQL necesita usar solo mysql_real_escape_string. Luego se escapa por completo para almacenar de forma segura en la base de datos.

EDITAR

Tenga en cuenta también los problemas que surgen con el uso de las otras funciones. Si el cliente envía por ejemplo un nombre de usuario al servidor y el nombre de usuario contiene un ampersand (&), no desea haber llamado al htmlentities antes de almacenarlo en la base de datos porque el nombre de usuario en la base de datos contendrá &.

Answer 3

Puedo sugerir instalar "mod_security" si está usando apache y tiene acceso completo al servidor ?!
Resolvió la mayoría de mis problemas. Sin embargo, no confíe solo en una o dos soluciones, siempre escriba el código de seguridad;)
ACTUALIZACIÓN Encontré este PHP IDS (http://php-ids.org/); parece agradable :)

Answer 4

Está buscando filter_input_array(). Sin embargo, sugiero que solo se use para la validación/sanitización de estilo empresarial y no para el filtrado de entrada de SQL.

Para la protección contra la inyección de SQL, utilice consultas parametrizadas con mysqli o PDO.

Answer 5

El problema es que algo limpio o seguro para un uso, no será para otro: limpiar parte de una ruta, parte de una consulta mysql, salida html (como html, o en javascript o en un valor de entrada), para xml puede requerir diferentes cosas que contradice.

Pero, se pueden hacer algunas cosas globales. Intente utilizar filter_input para obtener la opinión de su usuario. Y use prepared statements para sus consultas SQL.

Aunque, en lugar de una función do-it-all, puede crear alguna clase que gestione sus entradas. Algo así:

class inputManager{ 
    static function toHTML($field){ 
    $data = filter_input(INPUT_GET, $field, FILTER_SANITIZE_SPECIAL_CHARS); 
    return $data; 
    } 
    static function toSQL($field, $dbType = 'mysql'){ 
    $data = filter_input(INPUT_GET, $field); 
    if($dbType == 'mysql'){ 
     return mysql_real_escape_string($data); 
    } 
    } 
} 

Con este tipo de cosas, si se ve alguna $ _POST, $ GET, _REQUEST $ o $ _COOKIE en su código, usted sabe que tiene que cambiar. Y si algún día tiene que cambiar la forma en que filtra sus entradas, simplemente cambie la clase que ha creado.

Answer 6

he usado esa matriz pase o GET, POST

function cleanme(&$array) 
{ 
if (isset($array)) 
{ 
    foreach ($array as $key => $value) 
    { 
      if (is_array($array[$key])) 
      { 
      secure_array($array[$key]); 
      } 
      else 
      { 
      $array[$key] = strip_tags(mysql_real_escape_string(trim($array[$key]))); 
      } 
    } 
} 
} 

Uso:

cleanme($_GET); 
cleanme($_POST); 

Answer 7

<?php 
function sanitizeString($var) 
{ 
    $var = stripslashes($var); 
    $var = strip_tags($var); 
    $var = htmlentities($var); 
    return $var; 
} 

function sanitizeMySQL($connection, $var) 
{ 
    $var = $connection->real_escape_string($var); 
    $var = sanitizeString($var); 
    return $var; 
} 
?>