如何检查 URI 动态生成的变量名称的有效性

Question

我正在为我的自定义 MVC 项目构建路由器。

在我的路由器中，对于漂亮的 URL 名称，我遇到了问题。通过 URI 处理动态生成的变量名称的最佳实践是什么？

示例：

http://knjiskicrv.comoj.com/book/id/2/

将生成：

$page = 'book';
$id = '2';

现在，当有人故意开始搞乱 URI 时，可能会出现问题。喜欢：

http://knjiskicrv.comoj.com/book/id+one/2/

我会得到：

$page = 'book';
$id one = '2';

希望有人能给我一些如何预防和解决这个问题的建议？谢谢。

Answer 1

我认为您是在询问如何减轻“跨站脚本”（XSS）漏洞。

这是一个很大的话题。请记住：（可能是恶意的）用户可以通过多种方式“故意开始搞乱……URI”。

建议：开始阅读:)

这里有一些链接：

http://seancoates.com/blogs/xss-woes< /a>

http://www.cgisecurity.com/xss-faq.html

http://www.uri.edu/webservices/phpGuideline.html

Answer 2

首先，输入清理该网址。不要从可欺骗的输入源创建动态变量。好吧，您必须知道给定页面上会发生什么。这些变量保存什么变量以及什么类型的变量。

如果您必须显示一组类别，并且其中一个类别的名称是“id”

/products/monkeys/white/id/，该怎么办 - 您正确地...d

选择不同的约定来处理您的 URI。

就像将 URI 划分为区域、部分和页面元素一样。

http://www.oink.com/products/pigs/spottyones/angry /the_big_spotty_pig.html

区域 = '产品'
节 = array('spottyones','愤怒')
page = the_big_spotty_pig （这唯一标识了文章、产品等）。

当我必须使用变量时，这些变量主要与排序、页码等有关。因此可以将这些变量作为查询字符串参数附加。

更新
消毒：

你必须为自己设定规则。假设 URI 只能包含某些字符。

//Sanitization 
$uri = $_SERVER['REQUEST_URI']; // /products/monkey/angry/page.html

//allow only characters, numbers, underline and dash 
if (!preg_match('~^[a-z0-9-_]$~isD',$uri)) 
$uri = '/'; //URI has been tampered with

$uriparts = explode('/',$uri); 
/* array('products','monkey','angry','page.html') */

//Do whatever you want with the uri parts ...

Answer 3

您可以将这些变量存储在数组中，这样您

$var['id one'] = '2';

就得到了我的建议。