这个重定向脚本会让我接受代码注入或远程文件包含吗？

Question

最近，我看到一篇关于使用 PHP 脚本重定向联属链接的博客文章。这让我开始思考这个脚本是否安全。我听说使用 $_GET 变量可能会导致漏洞。

任何建议将不胜感激。检查输入中的字母数字和连字符（“-”）是否足以防止这种情况发生？

对于此脚本，链接的形式为：

http://www.somesite.com/amazon.php?asin=XXXXXXXXXX

或

http://www.somesite.com/ amazon.php?id=some-keyword

这是 amazon.php：

   <?php

    $id = $_GET['id'];
    $asin = $_GET['asin'];

    if ($asin != NULL)
    {
        header("Location:http://www.amazon.com/exec/obidos/ASIN/".$asin."/fantasticaffiliate-20");
        exit;
    }

    else
    {
        $links = array(
            "keyword-one" => "http://www.amazon.com/b/?node=1122334455&tag=fantasticaffiliate-20",
            "keyword-two" => "http://www.amazon.com/exec/obidos/ASIN/1352434213/fantasticaffiliate-20"
            );          

        header("Location:".$links[$id]);
        exit;
    }

?>

一如既往地感谢！

Answer 1

是的，会的。这些字符的任何组合都不足以导致 XSS 问题。