Может быть, я немного параноик, но когда я переписываю контактный модуль, на ум приходит следующий вопрос:
Можно ли использовать нефильтрованный ввод в собственных функциях php?
Легко санировать материал, чтобы помещать в базу данных, выводить на экран и т.д., но мне было интересно, может ли, например, следующее утверждение быть опасным:
if (file_exists($_POST['brochure'])) {
// do some stuff
}
Если кому-то удалось опубликовать эту страницу, можно ли использовать этот код?
Вышеприведенный код является лишь примером, я могу придумать другие функции, которые я использую при обработке формы.
Изменить: Спасибо всем, файл_exists в этом примере фактически является частью функции санитарии, но при очистке используются функции php, поэтому они быстро становятся курицами и яйцами: использовать функции, я должен очистить, но для очистки я должен использовать функции.
В любом случае, у меня есть свежие идеи.
