如何在 php 中清理从 url 到 mysql 的简单 _GET 输入

Question

我有一个简单的 php 脚本，希望人们可以简单地访问 http://mydomain.com/get.php?id=TEXTMASH-1FD0066D-F75A-5D0C-6784-2FA0D055B0D7 之类的内容并启动这个文本块来自我的 mysql 数据库。我对 php 很陌生。知道所有预期的 ID 都应采用 TEXTMASH-1FD0066D-F75A-5D0C-6784-2FA0D055B0D7 格式，如何“清理” _GET 以使其不易受到任何攻击？我看过一些指南，但我只是不明白。有人介意给我看看吗？我真的很感激。

<?php 

include_once("../../extern/dbinclude.php");

$id= $_GET['id'];

$result = mysql_query("SELECT text FROM mytable WHERE id='$id'")
or die(mysql_error());  

$row = mysql_fetch_array($result);

if($row)
{
echo nl2br($row['text']);
} else {
?>
<h2>Invalid URL</h2>
<?php
}

Answer 1

您可以使用 mysql_real_escape_string 或可能的正则表达式来检查输入。适合您情况的一种可能的正则表达式：

$pattern = '/^TEXTMASH-[0-9A-F]{8}-[0-9A-F]{4}-[0-9A-F]{4}-[0-9A-F]{4}-[0-9A-F]{12}$/';
if(!preg_match($pattern, $id))
{
    echo "No dice >:(";
    exit;
}

Answer 2

到目前为止，最好的方法是通过准备好的声明。到目前为止，其他答案建议使用 mysql_real_escape_string ，它可以工作，但很容易被开发人员和 PITA 错过，不得不一直使用。由于很容易错过并且很难找到这些错误，因此它不是一个可靠或可维护的解决方案。

准备好的语句可以消除过程中的这种痛苦，并自动适当地转义事情。

您可以在SO其他地方找到我们的更多信息。

Answer 3

清理输入的两个主要方面：

1. 获取输入时进行验证。查看用于进行验证的 PHP 过滤器函数。就您而言，ID 相当复杂，您可能需要一个自定义验证函数（可能使用正则表达式）。但是，我不明白为什么在可以使用 INTeger ID 的情况下还要使用如此复杂的 ID（这是典型的情况）。
2. 使用 mysql_real_escape_string() 或 在将用户变量插入数据库之前准备好的语句。

每当您显示字符串变量时，请确保转义任何 HTML 字符。