3

我正在测试使用的安全性stripslashes()

我尝试了以下方法：

  $str = chr(0xbf) . chr(0x27);

  var_dump(stripslashes($str)); // string(2) " �' "

然后我把它改成这样：

  $str = $_POST['input']; // %bf%27;

  var_dump(stripslashes($str)); // string(3) " �'' "

然后我用curl发送input数据：

  curl_setopt($ch, CURLOPT_POSTFIELDS, 'input=' . chr(0xbf) . chr(0x27));

但结果又是：string(3) " �'' "

从另一台服务器接收数据时，是否可以像第一个示例中那样获得结果？使用起来安全stripslashes()吗？

4

1 回答 1

0

你在这里问两个问题：

关于 stripslashes 的安全性

stripslashes()并不是一种真正安全的输入处理方式（我假设它进入数据库）。涉及的变量太多，例如

  • 目标数据库系统
  • 数据库连接的编码
  • 容易错过的程序员错误

在接收 POST 数据时

试试下面的文件。它应该作为您正在调查的内容的基本测试用例。到目前为止，我无法重现您描述的问题。

test.php

<html>
<head></head>
<body>
<form method="POST" action="test.php">
<input type="text" name="input"></input>
<input type="submit" value="Submit"></input>
</form>

<?php 

$string = chr(0xbf) . chr(0x27); // yields string '¿'' (length=2)
$input = $_POST['input'];

foreach (array($string, $input) as $s) {
  var_dump(stripslashes($s));
  var_dump($s);
}

?>
</html>

您得到的结果强烈指向编码问题。

于 2013-04-07T17:01:50.440 回答