验证php中的url参数

Question

我的 .htaccess 页面中有规则，显示属性 id 等...

我想确保验证我得到的每个参数以获得正确的查询。

我有：

RewriteRule ^(.*)$ page.php?page=$1
RewriteRule ^property/(.*)$ property.php?pid=$1

所以在我的 php 中我有：

$page = $_GET['page'];

现在

$propertyid = $_GET['pid'];

我需要保护它们，但我想知道哪种方法最适合用来保护这些，这就是我丢失的地方。

Answer 1

我想说使用这些规则：

RewriteRule ^([a-z0-9]+)/?$ page.php?page=$1 [L,NC]
RewriteRule ^property/([0-9]+)/?$ property.php?pid=$1 [L,NC]

这样，如果有人输入除字母和数字（对于页面）和数字（对于属性）之外的任何字符，它将显示找不到页面。

如果您想确实确定，您可以

$page = mysql_real_escape_string($_GET['page']);只需确保您的数据库连接已打开并且您可以强制转换pid 类似 $propertyid = (int)$_GET['pid'];

Answer 2

我认为使用页面参数，您应该有一个接受页面的列表，然后在获取“页面”之后，检查“页面”是否在接受列表中。
例如：

$arr_pages = ('page1','page2','page3');
$page = $_GET['page'];
if(in_array($page,$arr_pages))
{
// do some thing
}
else
{
 // page not found
}

和 id：

$propertyid = intval($_GET['pid']);

希望这有帮助:)