PHPが送信されたかどうかを確認する前にエスケープする

Question

PHPでは、フォームが空であるかどうかを確認する前にフォームからエスケープする必要がありますか？

つまり、empty($_POST['email'])などのコードインジェクションの脆弱性がありますか？

Answer 1

OWASPサイト（https://www.owasp.org/index.php/Code_Injection）

コード注射としてコードインジェクションを定義し、アプリケーションによって実行/解釈される コードを注入することから成る攻撃タイプの総称です。

PHPの空の関数は、変数が空であるかどうかを判断します。実際にコードを実行していないので、安全です。

空の問題の後にやることは？たとえば、$ _POST ['email']をSQLクエリの一部として使用する場合、または外部シェルコマンドで使用する場合、またはHTML出力で使用する場合は、それに応じてエスケープする必要があります。使用法によっては、エスケープ機能があります。 SQLインジェクションの場合、PHPはmysql_real_escape_stringを提供します。シェルコマンドの場合、escapeshellcmdとescapeshellarg。 XSS攻撃を避けるためのHTML出力の場合、PHPのhtmlentities。