JRequest :: getVar ('Variable')는 joomla에 안전합니까?

Question

JRequest :: getVar() 함수가 SQL 주입 또는 XSS를 방지 할만큼 충분한 지 또는 Joomla 사이트에서 XSS 또는 SQL 주입을 방지하기 위해 다른 것들을 사용하는 것이 더 낫지 만 알고 싶습니다.

Answer 1

당신이 Joomla 2.5+ 용으로 개발한다고 가정하면 더 이상 JRequest을 사용하지 않아도됩니다.

요청 변수를 얻기의

새로운 방법이 같다 :

$jinput = JFactory::getApplication()->input; 
// expecting integer, default 0 
$user_id = $jinput->post->get('user_id', 0, 'INT'); 
// expecting string, default empty string 
$user_name = $jinput->post->get('user_name', '', 'STRING') 

당신이 알고있는 경우, 예를 들어 원하는 있도록 $jinput에 대한

세 번째 매개 변수, 필터입니다 돌려 주어지는 정수. 적절한 필터를 설정한다.

JInput을 사용하려면 magic quotes을 해제해야합니다.

는, SQL 주입으로부터 보호

$db = JFactory::getDbo(); 
// $value is not safe 
$value = $db->quote($value); 

를 사용하여 귀하의 의견을 읽은 후 XSS

$filter = JFilterInput::getInstance(); 
// $value is not safe 
$value = $filter->clean($value); 

에 대해하려면 그냥 그 자체에는 "나쁜 자"가 없다는 것을 추가 할. 또한 SQL injection 또는 xss에 대한 필터링은 매우 다릅니다. 필터링 및 이스케이프에 대한 이해를 돕기 위해 The Great Escapism