Veri dezenfeksiyonu: Kod örnekleri ile En İyi Uygulamalar

WordPress için güvenli temalar yazmama yardımcı olmak için veri sanitizasyonunu (veri doğrulama değil) anlamaya çalışıyorum. En iyi uygulamaları detaylandıran tema geliştiricileri için kapsamlı bir rehber bulmaya çalışarak İnternet'te arama yaptım. Veri Doğrulama başlıklı kodeks sayfası da dahil olmak üzere karşılaştığım birkaç kaynak vardı, ancak hiçbiri benim için yararlı olmadı. Kodeks sayfasında kullanılabilir sanitizasyon işlevleri, kullanımları ve ne yapıldıkları listelenir, ancak neden birini diğerinin üzerinde kullanacağınız ya da hangi durumda belirli bir sanitasyon işlevi kullanırsınız açıklanamaz. Bu yazının amacı, herkesten kötü / onaylanmamış kod örnekleri ve uygun sanitasyon için nasıl yeniden yazılması gerektiğini bildirmesini istemektir. Bu, posta başlığını veya post thumnails src'yi sterilize etmek için genel kod veya$_POST Ajax isteklerine ilişkin veriler.

Ayrıca, veritabanını eklemek / güncellemek için WordPress işlevlerinin (örneğin aşağıdaki kod bloğunda belirtilenler) otomatik olarak sizin için dezenfekte etme işiyle ilgilenip ilgilenmediğini bilmek ister misiniz? Evetse, bu WordPress işlevlerine gönderilen verileri sterilize etmek için ek önlemler alacağınız istisnalar var mı?

add_user_meta
update_user_meta
add_post_meta
update_post_meta
//just to name a few

Ayrıca, HTML HTML'yi PHP satır içi HTML'ye karşı PHP'de yankılanırken dezenfeksiyonun farklı yapılması gerekiyor mu? Sorduğum şeyden daha açık olmak için kod İşte:

<?php echo '<div class="some-div ' . $another_class . '" data-id="' . $id . '" >' . $text . '</div>'; ?>

<div class="some-div <?php echo $another_class; ?>" data-id="<?php echo $id; ?>"><?php echo $text; ?></div>

Yukarıdaki ifadelerin ikisi de aynı şeyi başarmaktadır. Fakat farklı şekilde santrifüjlenmeleri gerekiyor mu?

Bu kodeks sayfası bence oldukça iyi açıklar.

En önemli ve yaygın olarak kullanılan işlev muhtemelen esc_attr. Bu örneği ele alalım:

<a href="<?php print $author_url; ?>" title="<?php print $author_name; ?>"> 
  <?php print $author_name; ?>
</a>

$author_nameBir "karakter içeriyorsa , özniteliğinizi kapatırsınız ve bu karakteri takip onclick="do_something();"ederse daha da kötüleşebilir :)

Bunu yapmak print esc_attr($author_name), bu karakterlerin kodlanmasını sağlar ve tarayıcı yapması gerekmeyen şeyleri yapmaz.

İhtiyacınız olmayan bir durum vardır: bir sayı beklerken, bu durumda giriş verilerini tamsayıya atabilirsiniz, örneğin:

print (int)$_POST['some_number'];

wpdb->prepare()Eğer DB kendini sorgular yaptığınızda yöntem kullanılması gerekir. İşte bir örnek:

$sql = $wpdb->prepare('
    UPDATE wp_posts SET post_title = %s WHERE ID = %d', 
      $_POST['title'], $_POST['id']);

$wpdb->query($sql);

%sVe %danahtar kelimeler ayıklanmış $ _POST değerlerle değiştirilir alacak.

WP.org deposundaki birçok eklentide gördüğüm çok yaygın bir hata, önceden hazırlanmış bir sorguyu ona (ve kötü hazırlanmış) geçirmektir:

$wpdb->prepare('UPDATE wp_posts SET post_title = \''.$_POST['title'].' WHERE ...

Bunu yapma :)

Ayrıca, HTML HTML'yi PHP satır içi HTML'ye karşı PHP'de yankılanırken dezenfeksiyonun farklı yapılması gerekiyor mu?

Yukarıdaki ifadelerin ikisi de aynı şeyi başarmaktadır. Fakat farklı şekilde santrifüjlenmeleri gerekiyor mu?

Hayır.

Mark Jaquith'in bu videosu benim için her şeyi temizledi. http://wordpress.tv/2011/01/29/mark-jaquith-theme-plugin-security/