从超全局中删除数组（$_GET、$_POST...）

Question

在 PHP 中，可以在 $_GET、$_POST、$_COOKIE、$_FILES 和 中包含数组>$_REQUEST 根据 PHP 文档 。问题是这些来自用户，我可能会得到它们而不是字符串。例如，考虑以下代码片段。

<?php
if (isset($_GET['hello'])) {
    echo 'Hello, ', htmlspecialchars($_GET['hello']), '.';
}
else {
    echo '<form action="?"><input name="hello"><input type="submit"></form>';
}

看起来还好吗？好吧，只要你不使用 URL，它就会正常工作。问题是黑客可以尝试将 $_GET['hello'] 制作为数组。如果 URL 字符串看起来像 ?hello[]=something PHP 将返回错误消息

警告：htmlspecialchars() 期望参数 1 为字符串，第 3 行 FILE 中给出的数组

OK，谁会在生产站点中启用 HTML 错误（另一件事是错误日志...）。但整数也是一个问题 - PHP 是动态类型语言，因此它可以轻松接受像 '2' + 2 这样的代码。虽然是的，但您可以使用 (int) 我有一些旧代码无法执行此操作。如果字符串来自 $_GET 或 $_POST，它也可能是数组。像 array('2') + 2 这样的东西会导致 PHP 的致命错误。

致命错误：第 3 行 FILE 中不支持的操作数类型

现在这是不可接受的，因为它会停止脚本。我不需要这些变量中的数组，但它们让我烦恼。是否有任何简单的片段可以从这些特殊变量中删除数组。如果我真的想要一个数组，我可以在运行代码片段之前复制它。

Answer 1

您可以使用 is_array() 来检查这样的事情。

if (is_array($_GET['hello']) // exit/error

或者只是再次显示表单

if (isset($_GET['hello']) && !is_array($_GET['hello']) {

至于有人输入诸如 array('2') + 2 之类的内容，您无需太担心。它已经是一个字符串，因此它不会作为 php 脚本运行。但是，根据您的范围，以最适合您的格式对信息进行编码始终是一个好主意。

在您的示例中，有人可以将 HTML 代码注入到您的 get 变量中，导致网站看起来不同。像 strip_tags 或 htmlentities 这样的简单函数不会有什么坏处。

Answer 2

在字符串上下文中使用它之前，我会检查它是否是字符串。

$name = (isset($_GET['name']) && is_string($_GET['name'])) ? $_GET['name'] : 'Unknown!';

或者：

if(isset($_GET['name']) && is_string($_GET['name']) {
    //do stuff
}

如果你想删除所有数组：

foreach($_GET as $key => $val) {
    if(is_array($val)) {
        unset($_GET[$key]);
    }
}

哎呀，看起来 Sudhir 已经打败了我，但已经输入了......:)

Answer 3

那么你能做这样的事情吗：

foreach($_POST as $key => $val) {
    if(is_array($val)) {
        unset($_POST[$key]);
    }
}

希望它在某种意义上有帮助。