PHP 接收参数时需要检测吗？

This topic created in 3698 days ago, the information mentioned may be changed or developed.

比如

$val = $_GET[$key];
func ($val); // 使用$val 的函数

如果不事先 $paraSet = isset($_GET) && isset($_GET[$key]);
那么可能返回状态码 500(?) ，但是程序会立即终止。

这样在没有收到参数时通过异常自动结束程序，有没有什么危害？

val

isset

get

key

16 replies • 2016-04-30 07:38:28 +08:00

b821025551b

Apr 29, 2016

关键词： sql 注入， xss

shiny

PRO

Apr 29, 2016

可以考虑 filter_input 或者框架集成

chend

Apr 29, 2016

对于整形我直接 intval()
对于字符串直接 htmlspecialchar()

也不知道有没有隐患。。。

Exin

Apr 29, 2016

@b821025551b 不是这个问题。
我的问题是"检测变量是否被传入"而不是验证"已传入变量的安全性"。

b821025551b

Apr 29, 2016

@Exin 个人感觉：安全性（数据库）方面应该没什么影响，但是基于书本上说的，“安全性是系统设计、实现和管理的一部分，其作用是保证系统可以完全按照人们想要的方式运行”，那么不监测是否传入空值，从而产生异常程序死掉，这个程序就是“不安全”的。至于危害，
站在测试人员角度：空值导致程序非正常运行， bug ，滚回去改；
站在运维人员角度：满屏的 500 ，这么多 bug 滚回去改；
站在用户角度：什么＊＊网站， f ＊＊ k ，又＊＊死了。
那么你就第 N ＋ 1 遍改代码喽。

Exin

Apr 29, 2016

@b821025551b 谢谢。