0

Страница example.com/item/5/ выводит данные из БД на основе текущего id, в данном случае ID=5.

Запрос к БД выглядит примерно так:

SELECT * FROM items WHERE item_id = '".$_GET['item_id']."

Проблема заключается в том, что если в адрес страницы, в данном случае, к 5 добавить какие-либо буквы, то страница всё равно вызвается по id = 5.

Например, example.com/item/5xyz/ или example.com/item/5fldsf/ выводят страницу по ID 5.

Прошу помочь. :(

1
  • 1
    А вы передайте в качестве item_id значение 1'; DROP TABLE items; - вообще счастливы будете )) Если серьезно - проверяйте пришедшее значение, например, через is_numeric
    – BOPOH
    13 фев 2015 в 16:04

2 ответа 2

1

Есть такая вещь, как "преобразование типов данных".

И поскольку Вы передаете не числовое значение, а строку (обращаем внимание на скобки ' '), то она подлежит преобразованию. Как итог, все не числовые значения справа отбрасываются, и вы получаете обычное число '5xyz' => 5.

Для учебы такие запросы пойдут, но в реальном приложении, если Вы не проверяете полученные значения и сразу пихаете их в запрос, то это очень большая дыра в безопасности. Посмотрите хотя бы на PDO в будущем и проверяйте значения.

0
0
  1. Проверять правильность ввода.
  2. Проверять наличие данного ид в базе.
  3. Если уж сильно параноик, можно еще и создавать специальные хэши для форм ввода и при передаче проверять их

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.