检查推荐人？

Question

我遇到问题了。我有这样的代码：

$theUrl = $_GET["url"];
include("$theUrl.php");

这获取了 url，例如： http://mywebsite.com/index.php?url=test

但是如果有人输入：

http://mywebsite.com/index.php?url=http://theirwebsite.com/someEvilscript

如何避免这种情况呢？我只希望执行服务器上的脚本，而不是来自其他网站的脚本。感谢您的帮助。

Answer 1

处理此问题的好方法之一是定义可包含的文件白名单。如果有任何东西不在该列表中，则应将其视为邪恶的并且永远不要包括在内。

例如：

<?php
$allowed = array('file1', 'file2', 'file3');

if (in_array($_GET["url"], $allowed)) {
    // You can include
} else {
   // Error message and dont include
}
?>

注意：正如评论中所建议的，可以通过扫描允许的目录来动态填充允许的列表。

Answer 2

你真的不应该有任何看起来像这样的代码。我的意思是真的。你想用这个实现什么目的？我确信还有另一种方法可以达到同样的效果，而且没有风险（比如说一般的丑陋）。

正如 HoLyVieR 所建议的，将可包含的内容列入白名单是确保当前代码安全的关键。

Answer 3

为什么不在您的网站上创建 test.php 并在链接中使用 http://mywebsite.com/test.php 呢？这样，如果需要，您可以将初始化脚本包含在 test.php 中（以及其他脚本中）。