$ _getスーパーグローバルを使用するときの一般的な落とし穴とアンチパターン

XSSを防ぐためにhtmlspecialchars（）を使用して、filter_input（）またはfilter_var（）を使用して$ _get入力を常に検証して消毒します。 2。警告を避けるために、ISSET（）またはnull合体演算子（??）を使用してパラメーターが存在するかどうかを確認します。 3.クエリ文字列を介して敏感または大規模なデータを渡さないでください。代わりに$ _POSTまたはセッションを使用します。 4.国家管理のために$ _GETを過剰に使用しないでください。セッションまたはデータベースを使用して、複雑な状態を保存します。 5.リンクを生成するときに、urlencode（）を使用したurl-encode動的パラメーター。 6.内部ロジックまたはIDの公開を避けます。 UUIDまたは難読化を使用して、アクセス制御を実施します。 7.ホワイトリストは、注射と乱用を防ぐために、ソートとフィルタリングの値を許可しました。すべての$ _GETデータを信頼されていないものとして扱い、一貫した検証を適用することで、セキュリティ、保守性、およびより良いユーザーエクスペリエンスが保証されます。

PHPで$_GET SuperGlobalを使用することは、URLクエリ文字列からデータを取得する最も一般的な方法の1つです。使いやすいものの、不適切な取り扱いは、セキュリティの脆弱性、バグ、ユーザーエクスペリエンスの低下につながる可能性があります。以下は一般的な落とし穴であり、パターン防止開発者は$_GET使用するときに避けるべきです。

1.入力を検証または消毒しない

最も頻繁な間違いの1つは、検証や消毒なしで$_GET値を直接使用することです。

 // apattion anti-Pattern
エコー「こんにちは」。 $ _get ['name'];

//✅より良いアプローチ
$ name = filter_input（input_get、 'name'、filter_sanitize_string）;
if（$ name）{
    エコー「こんにちは」。 htmlspecialchars（$ name）;
}

なぜそれが危険なのか：
非劣化した入力は、クロスサイトスクリプト（XSS）攻撃につながる可能性があります。常に$_GETデータが信頼されていないと仮定します。

ベストプラクティス：

• 検証には、 filter_input()またはfilter_var()を使用します。
• htmlで表示するときにhtmlspecialchars()を使用して出力をエスケープします。
• 予想されるデータ型（整数、電子メールなど）を定義し、それに応じて検証します。

2。パラメーターが常に存在すると仮定します

設定されているかどうかを確認せずに$_GETキーにアクセスすると、PHP警告が発生する可能性があります。

 // apattion anti-Pattern
$ page = $ _get ['page'];

//✅正しいアプローチ
$ page = $ _get ['page'] ?? 1; //デフォルト1に1
// または
$ page = isset（$ _ get ['page']）？ （int）$ _ get ['page']：1;

ヒント：クリーナーフォールバックには、null coulescingオペレーター（ ?? ）を使用します。オプションのパラメーターのデフォルトを常に提供します。

3。 $_GETを使用して、機密データまたは大規模なデータに使用します

クエリ文字列を介して機密データ（パスワード、トークン、個人情報など）を渡すことは深刻な間違いです。

 //❌これは決してしません
// https://example.com/delete?user_id=5&token=abc123

// post代わりに投稿リクエストとセッションを使用します

なぜそれが悪いのか：

• クエリ文字列は、サーバーログ、ブラウザの履歴、リファラーヘッダーに表示されます。
• URLは誤って共有できます。
• 制限された長さ（URLの長さの制限は、ブラウザ/サーバーによって異なります）。

ガイドライン：機密または大規模なペイロードには、 $_POSTまたはセッションを使用します。

4。国家管理のための$_GET使いすぎ

アプリケーション状態を管理するために長いまたは複雑なクエリ文字列に依存すると、URLは扱いにくく脆弱になります。

 //
//？step = 3＆mode = edit＆form = profile＆tab = notifications＆user = 123＆lang = en＆theme = dark

問題：

• 維持してデバッグするのは難しい。
• パラメーターが欠落または奇形がある場合、簡単に破損します。
• 貧しいUXとSEO。

より良い選択肢：

• セッションを使用して、マルチステップ状態を保存します。
• データベースまたはユーザー設定に構成を保存します。
• クエリ文字列を最小限に抑え、セマンティック（例： ?page=2 、 ?search=php ）。

5. URLエンコード動的パラメーターではありません

動的な$_GET値でURLを生成する場合、それらをエンコードしないと、リンクを壊したり、セキュリティの問題を導入したりできます。

 //❌危険
echo "<a href = &#39;search.php？q = $ query&#39;> search </a>";

//✅安全
echo &#39;<a href = "search.php？q =&#39;。urlencode（$ query）。 &#39;"> search </a>&#39;;

ユーザーデータをURLに挿入するときは、常にurlencode()を使用してください。

6.内部ロジックまたはIDの公開

URLで生データベースIDまたは内部識別子を使用すると、システム構造が公開される可能性があります。

 //❌予測可能で漏れやすい
//？id = 12345

より良いアプローチ：

• UUIDまたは難読化されたIDを使用します。
• アクセスコントロールを実装する - IDがURLにあるからといって、ユーザーがそれを見る必要があるわけではありません。
• すべてのリクエストでユーザー許可を検証します。

7.無制限のフィルタリングまたはソートを許可します

$_GETパラメーターをホワイトリスト化なしにSQLクエリを直接制御させるとリスクがあります。

 // dection注射または乱用に対して脆弱です
$ sort = $ _get ['sort'];
$ query = "select * fromユーザー注文by $ sort";

// biteListを使用します
$ Aldoct_sorts = ['name'、 'email'、 'created_at'];
$ sort = in_array（$ _ get ['sort']、$ approad_sorts）？ $ _get ['sort']： 'name';

許容可能な値の既知のリストに対して常に動的クエリパーツを検証してください。

ベストプラクティスの概要

• cell常に$_GET入力を検証し、消毒します。
• filter_input()およびhtmlspecialchars()を使用します。
• isset()または??を使用してキーが存在するかどうかを確認します。
• queryクエリ文字列の機密データを避けてください。
• urlsを清潔で意味のあるものに保ちます。
• Rinksに挿入されたURLエンコード値。
• 「「目に見えない」データに対してもアクセス制御を実装します。
• ✅ホワイトリストは、並べ替え、フィルタリングなどに値を許可しました。

$_GET安全に使用することは難しいことではありません。すべてのユーザー入力を信頼されていない一貫した検証として扱う必要があります。これらの習慣はあなたのアプリを保護し、保守性を向上させます。

以上が$ _getスーパーグローバルを使用するときの一般的な落とし穴とアンチパターンの詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。