具有未定义变量的安全风险

Question

有什么安全问题

    <?php
    $var = $_GET['var'];
    if ($variable)
    {
            // sensitive data
    }

攻击者是否有可能以某种方式获取敏感数据？

Answer 1

代码示例在register_globals启用时提供安全风险。在这种情况下，有人可以通过?variable=1，您的if()将被评估为真。最好始终初始化变量。

Answer 2

无论如何，您应始终从标记中转义/删除所有html实体。这需要不到几秒钟的时间，但如果您担心安全风险，它将长期帮助您。