Ich habe kürzlich herausgefunden, dass das Senden von Variablen, die „unerwartete“ Arrays (anstelle von Zeichenfolgen) enthalten, zu schwerwiegenden Fehlern oder anderem unerwünschten Verhalten führen kann. Beispiel:
Wir haben folgendes Array:
$list = array( "a" => "first", "b" => "second" );
Der Benutzer sendet $_REQUEST["key"], das zum Suchen eines Elements in dieser Liste verwendet wird:
echo ($list[$_REQUEST["key"]] ?? null);
Wenn $_REQUEST["key"] 的类型为 string、int、float、bool 或 null vom Typ string, int, float, bool oder null ist , zeigt das Skript die gefundenen Einträge an oder zeigt nichts an (= null). Dies ist das gewünschte Verhalten.
Wenn $_REQUEST["key"] 是 array ein Array ist, wird das Skript mit einem schwerwiegenden Fehler beendet.
Die offensichtliche Lösung besteht nun darin, im gesamten Code Tausende von Typprüfungen (is_scalar() 或 !is_array()) hinzuzufügen. Ich frage mich jedoch, ob die folgenden Alternativen aus Sicherheitsgründen sinnvoll klingen:
Zu Beginn jeder Anfrage wird das folgende Skript ausgeführt:
$_COOKIE = array_map(function($e) { return (is_array($e) ? json_encode($e, JSON_INVALID_UTF8_IGNORE) : $e); }, $_COOKIE);
$_REQUEST = array_map(function($e) { return (is_array($e) ? json_encode($e, JSON_INVALID_UTF8_IGNORE) : $e); }, $_REQUEST);
$_POST = array_map(function($e) { return (is_array($e) ? json_encode($e, JSON_INVALID_UTF8_IGNORE) : $e); }, $_POST);
$_GET = array_map(function($e) { return (is_array($e) ? json_encode($e, JSON_INVALID_UTF8_IGNORE) : $e); }, $_GET);
Dadurch wird das Senden des Arrays an den Server effektiv deaktiviert. Sollten tatsächlich Positionen im Code-Array benötigt werden, werden diese manuell mit json_decode() dekodiert.
Ist das eine gute Idee?
![[Web-Frontend] Node.js-Schnellstart](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
您手动解码每个输入变量，以避免手动验证每个输入变量。对我来说，这也是同样的烦恼，但更令人困惑，性能较差，并且有新的错误（例如，如果输入不是有效的 UTF-8，
json_encode()将中断）。一般来说，明确您的应用程序输入是有好处的。确保您使用一组处于已知状态的已知变量确实可以节省时间和麻烦。
如果
\TypeError是您唯一关心的问题，您可以将所有内容包装在 try/catch 块中。您可以使用函数来避免代码重复：
function get(string $name, ?string $default = null): ?string { if (isset($_REQUEST[$name]) && is_string($_REQUEST[$name])) { return $_REQUEST[$name]; } return $default; }您可以构建验证框架或使用第三方框架。
在弄乱所有输入之前，我会做很多事情，只是为了防止出现特定的极端情况。