Thema: [PHP] Codeschnipsel: POST oder GET mit Namenprüfung in Variablen schreiben

Mittels post oder get werden viele Information an das PHP-Script übergeben. Diese Variablen sollten aber nicht so weiter verwendet werden. AM besten man überträgt die Inhalte in einzelne Variablen. Man sollte auch nur die Inhalte übernehmen die man braucht und erwartet.

Jedesmal alles von Hand auszuprogrammieren kann relativ anstrengend werden

PHP-Code:

$a = $_POST['a'];
$c = $_POST['c']; 


nun, mittels einfacher Array-Funktionen kann man sich diesen Schritt automatisieren

Code PHP:

1 2 3 4 5

//Liste aller erlaubten postitems $allowedPost = array('c', 'b');     //Variablen zu allen erlaubten postitems erstellen extract(array_intersect_key($_POST, array_flip($allowedPost)));

Hier hab ich es mal zu einem Beispiel erweitert, das man gleich ausprobieren kann

Code PHP:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

<?php     // Diese Zeile simuliert die Post-Übergabe eines Formulars     $_POST = array('a'=>11, 'b'=>22, 'c'=>33);         //Liste aller erlaubten postitems     $allowedPost = array('c', 'b');         //Variablen zu allen erlaubten postitems erstellen     extract(array_intersect_key($_POST, array_flip($allowedPost)));         //Testausgabe um dieses Script zu testen     echo "a: {$a}";     echo "b: {$b}";     echo "c: {$c}"; ?>

Zitat von yaslaw

Diese Variablen sollten aber nicht so weiter verwendet werden.

Wieso nicht?

Zitat von yaslaw

AM besten man überträgt die Inhalte in einzelne Variablen.

Dieses Vorgehen finde ich nur bedingt empfehlenswert. Wird weiter unten im Quellcode die Variable $a verwendet, ist die Herkunft ihres Inhalts nicht unmittelbar klar. Dadurch kann man leicht übersehen, dass es sich um eine Benutzereingabe handelt und auch als solche behandelt werden muss (Überprüfung auf gültige Syntax, unerlaubte Zeichen etc.).

Grüße,
Matthias

Moin,

mal wieder ein guter Zeitpunkt, meinen Libling filter_input_array() zu promoten

Er ermöglicht dies alles auch, zusätzlich bietet er mannigfaltige Validierungs-und Reinungsmöglichkeiten, und hat obendrein noch einen nicht zu unterschätzenden Vorteil: er liesse sich von deinem simulierten $_POST nicht beeindrucken, weil er merkt, dass dieser Array nicht vom User kommt.

Eine sichere Trennung zwischen Skript-und GPCS-Variablen ist somit kein Problem, sofern man es sinnvoll anstellt.