Question

我想知道在Codeigniter中处理用户输入的最佳和最安全的方法是什么。基本上我有表单助手制作的用户个人资料表格，如下所示：

echo form_open();
    echo form_label($this->lang->line('user_update_profile_first_name'), 'first_name');
    echo form_input(array('type' => 'text', 'name' => 'first_name', 'id' => 'first_name', 'maxlength' => '255', 'required' => 'true', 'value' => set_value('first_name', $user_profile['first_name'], false)));

    echo form_label($this->lang->line('user_update_profile_last_name'), 'last_name');
    echo form_input(array('type' => 'text', 'name' => 'last_name', 'id' => 'last_name', 'maxlength' => '255', 'required' => 'true', 'value' => set_value('last_name', $user_profile['last_name'], false)));

    echo form_label($this->lang->line('user_update_profile_birth_date'), 'birth_date');
    echo form_input(array('type' => 'text', 'name' => 'birth_date', 'id' => 'birth_date', 'maxlength' => '255', 'required' => 'true', 'value' => set_value('birth_date', $user_profile['birth_date'], 

    echo form_submit(array('value' => $this->lang->line('user_update_profile_form_submit'), 'name' => 'submit', 'class' => 'btn btn-primary'));
echo form_close();

正如您在我的代码中所看到的，我正在跳过set_value函数中提供的xss过滤，因为xss过滤已在form_input()中完成。

用于在数据库中插入数据的我的控制器功能如下所示

$validation_rules = array(
    array(
        'field' => 'first_name',
        'label' => $this->lang->line('user_update_profile_validation_error_first_name'),
        'rules' => 'required|trim|max_length[255]'
    ),
    array(
        'field' => 'last_name',
        'label' => $this->lang->line('user_update_profile_validation_error_last_name'),
        'rules' => 'required|trim|max_length[255]'
    ),
    array(
        'field' => 'birth_date',
        'label' => $this->lang->line('user_update_profile_validation_error_birth_date'),
        'rules' => 'required|trim|max_length[255]'
    )
);

$this->form_validation->set_rules($validation_rules);
if($this->form_validation->run()) {
    $user_data = array(
        'user_id' => $this->profile_data->user_id,
        'first_name' => $this->input->post('first_name', TRUE),
        'last_name' => $this->input->post('last_name', TRUE),
        'birth_date' => date('Y-m-d',strtotime($this->input->post('birth_date', TRUE)))
    );

    if($this->user_model->update_user_profile($user_data)) {
        $view_data['success'] = TRUE;
        $new_site_language = $this->language_model->getLanguageFolderById($user_data['site_language']);
        $this->lang->load('application/user_lang', $new_site_language);

    } else {
        $view_data['server_error'] = TRUE;
    }
}

我通过提供的$this->input->post('', true) xss过滤器来过滤用户的数据。在模型中，我通过活动记录类将数据插入到DB中。我只是想知道如果不需要htmlspecialchars()之类的东西，这是否是处理用户输入的正确而安全的方式。但是，如果某人有一些“特殊”字符，例如某人O'Sombody或来自外国的一些名字，会发生什么？我还使用html_escape($this->profile_data->first_name)在导航栏中显示数据，以防止运行用户潜在的危险代码。我是否以正确的方式得到了这整个“安全事物”，或者因为潜在的危险应该有所改变？

在Codeigniter中处理用户输入的最佳实践

0 个答案: