php - 在使用 curl 获取文件名之前，是否需要对 $_POST 中的文件名进行清理？

Question

var 只是完整文件规范的文件名部分。

例如：

$file = $_POST['name'];
curl_exec("https:/example.com/some_api/".$file.".json");

顺便说一句，所有有效请求都将从一个域发布。

Answer 1

您不需要进行消毒（为了安全），因为这可能会导致安全问题（curl可能已经处理过类似的事情），但您可能需要urlencode它才能工作。另一方面，您可能不需要它 urlencode，但由于_POST参数是urldecode自动的，因此需要初始的双重编码。

顺便说一句，这是错误的。您需要curl_exec使用curl资源，而不是 URL。你想要curl_exec(curl_init($url))（但你可能需要设置选项和类似的东西）。

Answer 2

只是为了安全起见，你可能想要urlencode()它。

$file = urlencode($_POST['name']); 

这样，如果有人尝试一些花哨的东西，它会更安全。