$ _SERVER ['PHP_SELF']を安全にする方法は？

Question

以下のこのコードを使用してページネーションを制御しています。 $_SERVER['PHP_SELF']を使用していますので、この方法で安全かどうか、または何をしなければならないのですか？$_SERVER['PHP_SELF']は安全ですか？

<?php 

    if($rows > 10) { 
     echo '<a id=nex href="'.$_SERVER['PHP_SELF'].'?pg='.($startrow+10).'"> 
     Next</a>'; 
    } 

    $prev = $startrow - 10; 

    if ($prev >= 0) { 
     echo '<a id=pex href="'.$_SERVER['PHP_SELF'].'?pg='.$prev.'"> 
     Previous</a>'; 
    } 

?> 

Answer 1

のようなツールを使用しています。詳細は、this questionを参照してください。

href属性が?で始まり、パスがない場合、ブラウザーは、相対リンクが同じディレクトリーに追加されるように、後続の照会ストリングを現在の要求に追加することにも注意してください。

私はあなたが$prevと$startrowを他の場所で消毒していると仮定しています。数学的比較はそれらを安全にするはずですが、$ _GETから来ている場合は、何かをする前にintval()まで実行することをお勧めします。

Answer 2

$_SERVER['PHP_SELF']すでに何の文字は、あなたが投稿したいあなたのHTML構文に変化をもたらすことはできないという意味で安全です。唯一のことはファイル名そのものです。

通常、ブラウザに送信する前に出力を消毒するには、htmlspecialcharsのようなメソッドを使用する必要があります。

Answer 3

あなたはfilter_inputを使用する必要があります。http://php.net/filter_inputは

$phpSelf = filter_input(INPUT_SERVER, 'PHP_SELF', FILTER_SANITIZE_URL); 

そして、代わりに$_SERVER['PHP_SELF']の$phpSelfを使用しています。

あなたが$_SERVER['PHP_SELF']を逃れるためにhtmlspecialchars()またはfilter_input()を使用する必要があり、これがhtmlspecialcharsよりも良いですが、理想的なソリューションは、XSS攻撃を防ぐためにhttp://htmlpurifier.org/