Taint support in PHP

30-03-2009

Een functie die nog ontbreekt in PHP (maar waar de PHP ontwikkelaars wel aan werken) is de support van Tainted variabelen. Voor wie niet weet wat dit zijn: Als in PHP bijvoorbeeld een variabele uit een get gehaald wordt op de volgende manier: <?php print 'Hoi '.$_GET['naam']; ?> zal dit gewoon weergegeven worden. Echter is dit niet veilig, wat als hier nou bijvoorbeeld een stuk Javascript in komt te staan (crosside-scripting). Het zou mooi zijn als PHP dit soort dingen zou herkennen en een waarschuwing zou geven. Dat is precies wat er gebeurt als de variabelen tainted worden, dan wordt er op dit soort dingen gecontroleerd. Het voorgaande voorbeeld mag dan niet meer maar <?php print 'Hoi: '.htmlspecialchars($_GET['naam']); ?> is wel goed. De 'hack' voor PHP die op deze pagina staat maakt het mogelijk dit ook in PHP zo te gebruiken.

http://ftp://ftp.porcupine.org/pub/php/php-5.2.5-taint-20080622.README.ht...

JSON encode voor PHP versie < 5.2

HTML Entity character Lookup

Taint support in PHP

Zie ook:

twitter

dagtip

twing!

zoeken

dagtip

populair

blog

links