PHP：回聲通過$ _GET

Question

失敗我目前在我的網站使用此代碼顯示錯誤信息：

<?php 
$failure = strip_tags($_GET['failure']); 
if($failure!=""){ 
echo '<div class="error">'; 
echo $failure; 
echo '</div>'; 
} 
?> 

不過，我很好奇，如果這是安全的。是嗎？

Answer 1

雖然這個解決方案會改變一點點你的方法，爲什麼不有這個結構的errors.php文件？

$error[1] = 'some error message'; 
$error[2] = 'some other error message'; 
$error[3] = '...'; // you get the point 

而且只發送一個ID爲錯誤：

somepage.php?failure=2 

然後，包括這段代碼，你通常會顯示你的錯誤：

if($_GET['failure'] && array_key_exists($_GET['failure'],$error) { 
    echo $error[$_GET['failure']]; 
} 

就一定要包括錯誤.php在您的config.php文件（或任何您的主要配置的文件名是）。

爲什麼？

1. 錯誤經常重複，這樣您可以反覆使用它們。
2. 如果您想將網站翻譯成其他語言，該系統將非常有幫助。
3. 如果您需要更改錯誤消息中的單詞，您只需在errors.php文件中更改一次即可。

恕我直言，這是很多安全使用整數比在這種情況下字符串。

Answer 2

你可以（當然總是應該，帽尖@DaveRandom）爲了防止一些聰明的建設從過去獲得的標籤剝離器做htmlspecialchars()strip_tags之後。我從來沒有見過這樣做的成功，但它不能傷害採取額外的預防措施。

如果你這樣做，這看起來很安全。

請注意，GET請求的最大大小有一個限制 - 1kb是最大安全數量。

Answer 3

根據您擁有的PHP版本，filter_input()是一個不錯的選擇。