Question

我正在测试使用stripslashes()

的安全性

我尝试了以下内容：

  $str = chr(0xbf) . chr(0x27);

  var_dump(stripslashes($str)); // string(2) " �' "

然后我改为：

  $str = $_POST['input']; // %bf%27;

  var_dump(stripslashes($str)); // string(3) " �'' "

然后我使用 curl 发送input数据：

  curl_setopt($ch, CURLOPT_POSTFIELDS, 'input=' . chr(0xbf) . chr(0x27));

但结果又是：string(3) " �'' "

当从另一台服务器收到数据时，是否可以像第一个示例中那样获得结果？使用stripslashes()

是否安全？

Answer 1

你在这里问两个问题：

关于stripslashes的安全性

stripslashes()实际上并不是一种处理输入的安全方式（我假设这是一种数据库）。涉及的变量太多，比如

目标数据库系统
数据库连接的编码
容易错过的程序员错误

收到POST数据

尝试以下文件。它应该作为您正在调查的基本测试用例。到目前为止，我无法重现你所描述的问题。

test.php

<html>
<head></head>
<body>
<form method="POST" action="test.php">
<input type="text" name="input"></input>
<input type="submit" value="Submit"></input>
</form>

<?php 

$string = chr(0xbf) . chr(0x27); // yields string '¿'' (length=2)
$input = $_POST['input'];

foreach (array($string, $input) as $s) {
  var_dump(stripslashes($s));
  var_dump($s);
}

?>
</html>

您得到的结果强烈指向编码问题。

striplashes安全测试

1 个答案:

关于stripslashes的安全性

收到POST数据