PHP : FILTER_VALIDATE_URL은 (는) URL의 유효성을 검사해도 안전합니까?

Question

나는이 URL을 검증하기 위해 사용하고 있습니다 :

if(!filter_var($website, FILTER_VALIDATE_URL)) { 
// invalid url 
} else 
    //url valid 

이 안전한가요? 이것을 읽은 후 : http://www.d-mueller.de/blog/why-url-validation-with-filter_var-might-not-be-a-good-idea/ 나는 두려워하지 않습니다.

그래서 제공된 솔루션 안전?

function validate_url($url) 
{ 
    $url = trim($url); 

    return ((strpos($url, "http://") === 0 || strpos($url, "https://") === 0) && 
      filter_var($url, FILTER_VALIDATE_URL, FILTER_FLAG_SCHEME_REQUIRED | FILTER_FLAG_HOST_REQUIRED) !== false); 
} 

Answer 1

이 문서는이 문제를 언급하지 않는다, 그러나 반환 값은 URL의 소독 복사본입니다.

e.e. 당신이 filter_var()의 반환 값으로 작업하는 경우

<?php 
echo filter_var('http://example.com/exploit.html?<script>alert(1);</script>', FILTER_VALIDATE_URL); 
//http://example.com/exploit.html? 

그래서, 당신은 filter_var()에 공급되는 URL 작업을보다 안전하다.