Süper küreselleri doğrudan değiştirme

(Genellikle iyi kod yazma) doğrudan insanlar $_POSTböyle kod ile dizi değiştirmek gördüm :

// Add some value that wasn't actually posted
$_POST['last_activity'] = time();

// Alter an existing post value
$_POST['name'] = trim($_POST['name']);

// Our pretend function
// Pass the entire $_POST array as data to work with in the function
// The function update_record() will read only the values we actually need
update_record($_POST);

// ...That sure was easier than creating a new array 
//  with only the $_POST values we actually need.

update_record()$ _POST'a doğrudan erişmemesi mantıklıdır , bu nedenle örneğin diğer veri dizilerini ona aktarabiliriz, ancak elbette bu tembel, kötü tasarım veya muhtemelen yanlış mı? Ancak, hala geçerli bir dizi geçiriyoruz update_record(), neden yeni bir dizi oluşturmalıyız?

Bu sorunun konusu değil, sadece bir kullanım örneği. Ancak, birçok insanın bunun $_REQUESTverilerle yapılmaması gerektiğini söylediğini duydum ve bu kötü bir uygulama. Ama neden? Yeterince zararsız görünüyor.

Örnekler:

• $_GETGerçekten var olmayan bir varsayılan (veya posta) değeri ayarlama

• $_POSTForm gönderildikten sonra gerçekte gönderilmemiş değerler ekleme

• $_GETDizi değerlerini veya anahtarları komut dosyasında çok erken bir şekilde doğrudan sterilize etme veya filtreleme (yedek sanitasyon ... neden olmasın?)

• $_POSTBir girişi varsayılan bir değerle doldurmak için form gönderilmeden önce manuel olarak bir değer ayarlama (girdi $_POSTvarsayılan değeri için okuduğunda ; bunu yaptım)

• Kendi $_SERVERdeğerlerinizi mi oluşturuyorsunuz? Tabii, hey neden olmasın?

• Nasıl gibi başkaları hakkında $_COOKIEve $_SESSION? Elbette bunları doğrudan değiştirmek zorundayız değil mi? Öyleyse neden diğerleri değil?

Süper küresellerin doğrudan modifikasyonu asla yapılmamalı mı, yoksa bazı durumlarda yapılması uygun mudur?

PHP'nin zaten bu süper küreselleri ayarladığı göz önüne alındığında, onları değiştirmenin kötü olduğunu düşünmüyorum . Bazı durumlarda, problemleri çözmenin en iyi yolu olabilir ... özellikle kolayca değiştiremediğiniz üçüncü taraf kodlarıyla uğraşırken. ( $_GETDoğrudan kullanabilirler veya içinde bazı anahtarların var olduğunu varsayabilirler $_SERVER.)

Ancak, genel olarak konuşursak, kendi kodunuzu yazarken kötü bir uygulama olduğunu düşünüyorum. Değiştirme $_REQUESTher sayfada çalışır otomatik olasılıkla yan etkileri tanıtmak olduğunu sahneler filtrenin arkasında bazı verileri. ("Sihirli tırnak" kanıt için neden tüm sorunları görün.)

Dolayısıyla, bunu yapmayacaksanız (süper küreselleri otomatik olarak filtreleyin), aşağıdakiler size herhangi bir fayda sağlamaz:

$_POST['foo'] = filter($_POST['foo']);

kolayca yapabileceğiniz zaman:

$foo = filter($_POST['foo']);

Ben o site genelindeki ayrım yapmak çok daha açık olduğunu düşünüyorum $_POSTve $_GETedilir hep , güvenilmeyen verileri filtresiz ve onlar gerektiğini asla olduğu gibi kullanılabilir.

Filtrelenmiş değeri başka bir değişkene kopyalayarak, "Ne yaptığımı anlıyorum ... Bu girdiyi filtreledim ve kullanımı güvenli" iddiasında bulunuyorsunuz.

Genel olarak, önceden tanımlanmış süper küreselleri değiştirmemenizi öneririm, böylece sterilize edilmiş verilerin ve ham / güvenilir olmayan verilerin ne olduğu açıktır.

Diğerleri, talep döngüsünün başlangıcında süper küreselleri temizlerseniz, başka bir yerde onlar hakkında endişelenmenize gerek olmadığını önerebilir.

İhtiyacınız olduğunda her zaman onları eşleştirirdim:

$id = (int)$_POST['id'];

veya benzeri.

Diğer değişkenler açısından bu herhangi birine yazmayın iyi bir uygulamadır $_GET, $_POST, $_REQUEST, $_SERVERveya $_COOKIE. $_SESSIONancak farklıdır çünkü oturuma genellikle daha sonra oturumdaki farklı istekler arasında kalıcı olarak veri yazmak istersiniz.

Bundan kaçınmalısınız. Belki bir süre bir şeyi sterilize etmeyi unuttun, o zaman tehlikeli verileri alabilirsin. Dezenfekte ederken verileri yeni bir yapıya kopyalarsanız

• Sadece ne istiyorsun / neye ihtiyacın var, ne $_POSTde değil
• Yeni oluşturulan dizide bazı anahtarlar yoksa veya hiç eksikse, muhtemelen bir hata alırsınız

Diğer diğer komut dosyaları, diziye dokunulmadığını ve meraklı tepki gösterebileceğini varsayabilir.

Süper küresel değiştirme fikrini hiç sevmedim çünkü yanıltıcı. Neredeyse daha iyi bir yol olacak bir şey yapmak için hızlı bir hacky yoludur.

$_POSTÖrneğin değerini değiştirirseniz, yazılımın vermediği verileri aldığını söylüyorsunuz.

GERÇEK SORUN

Bunun büyük bir sorun haline geldiği gerçek bir yaşam durumu var:

Bir ekipte çalıştığınızı düşünün. İdeal bir dünyada herkes aynı sözdizimini kullanır, ancak ideal bir dünyada yaşamıyoruz. Bir geliştirici, John, yayınlanan verilere erişmeyi sever $_POST. Yazıdaki bir şeyi değiştirir:

$_POST['ranking'] = 2; // John has changed ranking from 1 to 2 for whatever reason

Daha sonra filter_input, kullanıcının kurcalayabileceği verileri işlerken yazılımı korumak için girilen (yani GET, POST, SERVER, COOKIE) verilerine erişmek için kullanmayı tercih eden başka bir geliştirici olan Chris var. Yazılım kısmında, post değerini alması gerekiyor ranking. Kodun parçası John'un SONRA .

$ranking = filter_input(INPUT_POST, 'ranking', FILTER_SANITIZE_NUMBER_INT);
// $ranking = 1

Yukarıdaki örnekte, bir küresel küreyi değiştirerek PHP'yi kırdınız. John her $_POST['ranking']ne sebeple olursa olsun değerini 2 olarak belirlemiştir, ancak şimdi Chris 1 değerini almıştır

Bunu yapmanın başka bir yolunu görmediğimde:

AWS yük dengeleyicisinin arkasında wordpress'i blog olarak kullanan bir proje üzerinde çalıştım. Bu, değerini değiştirir $_SERVER['remote_address']. Bu durumda, diğer geliştiricinin aşağıdakileri yapmaktan başka seçeneği yoktu:

if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
    $parts = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
    $_SERVER['REMOTE_ADDR'] = $parts[0];
}

Sonuç

Süper küreselleri değiştirmekten neredeyse kesinlikle daha iyi bir yol var

Bence buradaki asıl soru “temayı neden değiştirmelisiniz?”. Bunun için geçerli bir neden göremiyorum. Bir imput'u sterilize etmeniz gerekiyorsa, yerel bir değişken kullanmak isteyebilirsiniz ...

Kod yeterince kısa değilse (örneğin, 50 satırdan daha kısa), bu süper-global modifikasyonu değiştirmek, kodunuzu yalnızca bakımını ve altını çizmeyi zorlaştıracaktır.

Bu arada, işleve $ _POST iletmeniz gerekmez, çünkü bir işlevin yerel kapsamı içinde bile erişilebilen süper küresel bir dizidir.

Süper küreselleri değiştirmek için hiçbir neden olmaması gerektiğini söyleyerek bu soruyu ilk olarak cevapladıktan sonra, bu cevabı karar verdiğim bir zaman örneğiyle düzenliyorum.

Şu anda bir requestsütun yeniden yazmak veritabanı tablo üzerinde sütun karşılık gelen targetsütuna kullanıcı yönlendirir üzerinde çalışıyorum .

Örneğin, bir requestolabilir blog/title-hereve targetolabilir blog.php?id=1.

Yana blog.phpbekliyor $_GETdeğişkenleri ve ben değiştirmek istemiyorum header("Location:")böyle yaptığımı sol kulüpler şey:

$uri    = explode('?', $uri_request)[0];
$params = explode('?', $uri_request)[1];
parse_str($params, $_GET);

Bu sütun $_GETtarafından iletilen istenen parametreleri içeren bir dizi oluşturur target.

Sonuçta, kesinlikle gerekmedikçe süper küreselleri değiştirmeye karşı şiddetle tavsiye ediyorum .