使 Web 表单输入在各种情况下安全的正确方法是什么？
你们都认为什么是正确的（阅读：最灵活、松散耦合、最健壮等）方法来使来自 Web 的用户输入安全地用于 Web 应用程序的各个部分？ 显然，我们可以为每个上下文（数据库、屏幕显示、保存在磁盘上等）使用各自的清理功能，但是是否有一些通用的“模式”来处理不安全的数据并使其安全？ 是否有一种既定的方法来强制将其视为不安全，除非它得到适当的安全？
What do you all think is the correct (read: most flexible, loosely coupled, most robust, etc.) way to make user input from the web safe for use in various parts of a web application? Obviously we can just use the respective sanitization functions for each context (database, display on screen, save on disk, etc.), but is there some general "pattern" for handling unsafe data and making it safe? Is there an established way to enforce treating it as unsafe unless it is properly made safe?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
发布评论
评论（3）
您无法使用单一方法来清理所有用途的数据，但一个好的开始是：
过滤器 Var 接受许多不同类型的数据并剔除坏字符（例如您期望数字的非数字），并确保其格式有效（IP 地址）。
注意：电子邮件地址比 Filter_Var 的实现复杂得多，因此请 Google 寻找正确的函数。
在将内容输入到 Mysql 数据库之前，我不建议使用它一个数据库，无论如何，最好只使用准备好的 mysqli 语句。
You cannot use a single method to sanitize data for all uses, but a good start is:
Filter Var takes a number of different types of data and strips out bad characters (like non-digits for things you expect to be numbers), and makes sure it is of valid format (IP Addresses).
Note: Email Addresses are far more complicated than the Filter_Var's implementation, so Google around for the proper function.
I wouldn't suggest using this until you are about to input stuff into a database, and it is probably better to just use prepared mysqli statements anyway.
正如已经说过的，当您担心网络安全时，需要考虑几件事。 以下是需要考虑的一些基本原则：
所以这意味着没有像
$variable = $_POST['user_input']这样的东西。 对于任何这样的情况，您都会将太多的控制权交给用户。 如果输入影响某些数据库查询，请始终使用白名单来验证用户输入。 如果查询针对用户名，请根据良好用户名列表进行验证。 不要简单地直接将用户输入放入查询中。一个（可能的）例外是搜索字符串。 在这种情况下，您需要消毒，就这么简单。
如果用户正在为其他用户创建个人资料或上传信息，您必须有一个可接受的数据类型的白名单，或者删除任何可能是恶意的数据。 这不仅是为了您的系统的安全，也是为了您的其他用户（请参阅下一点）。
这可能是安全顾问向我强调的最重要的事情。 您不能简单地依赖于在用户收到输入时对其进行清理。 如果您没有自己编写输出，请始终通过对任何 HTML 字符进行编码或将其包装在