具有动态内容的查询字符串

Question

如果我有这个索引：

if (isset($_GET['se'])) {
    $se= $_GET['se'];

    if (file_exists("{$se}.php")){
        require("{$se}.php");
    }
    else {
        require("page_error.php");
    }
}
else {
    require("page_error.php");
}

像下面这样的链接不起作用：

$pwrurl = "http://example.com/login/?se=change_password?usermail=".$email."&usercode=".$linkHash;

只有像这样的链接才会被接受：http://example.com/login/?se=change_password。

这个问题能解决吗？

Answer 1

提防！

让用户决定包含哪个文件而不进行任何验证会给您的服务器带来漏洞。他们可以将您的脚本指向任何敏感文件。

您应该限制可以包含的内容的可能性，如下所示：

$allowed_files = array(
    "page_error",
    "some_section",
    "some_other_section",
    "change_password"
    );

$se = empty($_GET['se']) ? "page_error" : $_GET['se'] ; // "page_error" by default.

if (in_array($se, $allowed_files)){
    require("{$se}.php");
} else {
    require("page_error.php");
}

这样它们只能读取您放入数组中的文件。

编辑：此外，就像其他人所说的那样，您应该使用 & 分隔 URL 中的不同 param=argument 对。而不是？这 ？用于将页面名称与参数列表分开。

http://example.com/login/?se=change_password&usermail=...

Answer 2

URL 中有两个 ?。多个参数必须用 & 分隔。

您使用 require 是非常危险。阅读有关安全的内容。在将任何参数传递给如此危险的函数之前，请先对其进行验证，否则您的网站将立即遭到黑客攻击。

Answer 3

链接错误，应该是“&”而不是“？”更改密码后。

$pwrurl = "http://example.com/login/?se=change_password&usermail=".$email."&usercode=".$linkHash;