將php $ _GET傳遞給flash播放器xml文件

Question

我在第x.php頁？user = john中使用swfobject嵌入了flash播放器。玩家調用xml文件content.php來獲得結果。在content.php我有$ _GET ['user']。我試圖從網址ID獲取用戶名並根據此結果獲取結果。然而，我得到了500錯誤。我不認爲content.php能夠訪問user變量。如果我只是把用戶名「約翰」，而不是$ _GET ['用戶']，那麼它的作品。我怎樣才能得到這個與$ _GET [ '用戶']

XML文件content.php看起來像這樣

$sql = 'SELECT a.videote as videote, b.user_name as user_name'. 
' FROM '.$video.' as a,'.$users.' as b'. 
' where b.user_name=$_GET['user'] and... //if i replace $_GET['user'] with john then it works 

在x.php閃光燈內嵌這樣

<script type="text/javascript"> 
    var flashvars = {}; 
    var so = new SWFObject("play2.swf", "sotester", "1000", "400", "8", "#000000"); 
    so.addParam("allowFullScreen", "true"); 
    so.addParam("scale", "noscale"); 
    so.addParam("menu", "false"); 
    so.write("flashcontent"); 
</script> 

工作我的播放器腳本當然指向content.php這不是問題

xmlData.load("contentp.php"); 

Answer 1

Pinkie，感謝您發佈的代碼。

$sql = 'SELECT a.videote as videote, b.user_name as user_name'. 
    ' FROM '.$video.' as a,'.$users.' as b'. 
    ' where b.user_name=$_GET['user'] and... //if i replace $_GET['user'] with john then it works 

這裏有幾個問題，但我們可以通過它們。

更改字符串時會引入語法錯誤。你有正確的想法$video和$users。但是，在添加$_GET['user']時，PHP認爲第一個撇號正在結束當前字符串。

考慮以下因素：

' where b.user_name=$_GET['user'] and...' 

看起來像兩個字符串，由單詞 「用戶」 分隔：

' where b.user_name=$_GET[' user '] and...' 

這不是正確的語法，所以返回500錯誤。我猜，如果你想你的錯誤會消失：

' where b.user_name=' . $_GET['user'] . ' and...' 

下一個問題是，如果用戶要發送一個精心製作的價值，爲「用戶」的參數，它們可能會導致查詢的行爲以你不打算的方式。

試試這個：創建一個名爲的login.php文件，包含以下內容：

<?php 
    // Just display the output; no HTML formatting needed 
    header("Content-Type: text/plain"); 

    // This must succeed, or mysql_real_escape_string() won't have any effect 
    mysql_connect('mysql_host', 'mysql_user', 'mysql_password') 
     OR die(mysql_error()); 

    $safeQuery = 'SELECT count(*) FROM users WHERE user=\'' . mysql_real_escape_string($_GET['username']) . '\' AND pass=\'' . mysql_real_escape_string($_GET['password']) . '\';'; 
    echo " safeQuery is: $safeQuery\n"; 

    $unsafeQuery = 'SELECT count(*) FROM users WHERE user=\'' . $_GET['username'] . '\' AND pass=\'' . $_GET['password'] . '\';'; 
    echo "unsafeQuery is: $unsafeQuery\n"; 
?> 

負載login.php?username=bob&password=sample。輸出看起來合理的：

safeQuery is: SELECT count(*) FROM users WHERE user='bob' AND pass='sample'; 
unsafeQuery is: SELECT count(*) FROM users WHERE user='bob' AND pass='sample'; 

現在嘗試加載login.php?username=bob&password=sample' OR 'hello'='hello"：

safeQuery is: SELECT count(*) FROM users WHERE user='bob' AND pass='sample\' OR \'hello\'=\'hello'; 
unsafeQuery is: SELECT count(*) FROM users WHERE user='bob' AND pass='sample' OR 'hello'='hello'; 

的安全查詢將返回零，除非你有一個叫鮑勃其密碼真的是sample' OR 'hello'='hello"用戶。

但是，不安全的版本將返回數據庫中用戶的總數。 WHERE子句現在是：

WHERE user='bob' AND pass='sample' OR 'hello'='hello' 

的OR 'hello'='hello'將在所有情況下，條件爲真，即使bob不存在或具有比其他sample密碼。

部分查詢甚至可能被註釋掉。嘗試login.php?username=bob' --：

safeQuery is: SELECT count(*) FROM users WHERE user='bob\' --' AND pass=''; 
unsafeQuery is: SELECT count(*) FROM users WHERE user='bob' --' AND pass=''; 

password參數現在被忽略，因爲它嵌入在SQL註釋中。

因此，即使您只是執行SELECT語句，如果其輸入未被轉義，結果也可以由聰明的用戶操縱。

您可以使用mysql_real_escape_string來防止這些不良值。此功能將在必要時添加反斜槓，以防止輸入數據作爲SQL執行。

$sql = 'SELECT a.videote as videote, b.user_name as user_name'. 
    ' FROM '.$video.' as a,'.$users.' as b'. 
    ' where b.user_name=\'' . mysql_real_escape_string($_GET['user']) . '\' and...'; 

實施例1從php.net page for mysql_real_escape_string具有使用sprintf的一個很好的例子：

$query = sprintf("SELECT * FROM users WHERE user='%s' AND password='%s'", 
    mysql_real_escape_string($user), 
    mysql_real_escape_string($password)); 

每個%s被替換爲參數（在它們的順序依次指定）。這樣可以更輕鬆地保持查詢的可讀性，同時防止錯誤的輸入數據。

Answer 2

所以，如果我正在讀這個相關當用戶訪問x.php？user = john頁面時，服務器正在返回包含Flash對象的頁面。該flash對象反過來嘗試加載content.php中的xml頁面。你是正確的，content.php不能訪問x.php中的任何$ _GET變量，因爲它們是兩個完全不同的請求。

有兩件事情你可以做：

1. 放$ _GET [「用戶」]內容到頁面作爲<PARAM>，然後讓Flash對象添加到其請求。
2. 讓Flash使用技術from this other article從查詢字符串中獲取信息。

雖然我覺得這個值得警告，但請記住在使用前仔細檢查查詢字符串的內容，以免最終導致CSS或SQL注入漏洞。

Answer 3

所以約書亞絕對有正確的想法，但讓我看看我是否可以澄清和擴大一點。

本質上你應該通過GET變量閃光使用閃光變量參數（你可以閱讀它的一個很好的教程here）。一旦閃存有變量，它應該追加content.php的查詢與?yourNewGetVariable=ValuePassedOnToFlash，約書亞就在你傳遞該值之前，你應該肯定sanitize它和encode它的URL。然後你的content.php文件應該沒有問題訪問yourNewGetVariable