защита на $_GET и още нещо

S

stoqnski

Registered
PHP: 
	$limit = 2; 				
	
	   $page = (int) (!isset($_GET["page"]) ? 1 : $_GET["page"]);

	if($page)
	
		$start = ($page - 1) * $limit; 			
	else 
		$start = 0;						
	
	$sql = "SELECT * FROM $tbl_name LIMIT $start, $limit";
	$result = mysql_query($sql) or die('Gre6ka 2');
	 if(mysql_num_rows($result) == 0) {
        header("Location: all.php");
} else {

генерира се линк all.php?pagе=...

тук : $page = (int) (!isset($_GET["page"]) ? 1 : $_GET["page"]);

когато въведа all.php в браузъра си е както трябва без ерори
когато въведа all.php?page=1,2 всички страници си работят без грешки
когато въведа all.php?page='," или подобно всичко си бачка без грешка
когато въведа дори и букви ?page=а,б,аф,а,abba пак е както трябва

Когато обаче въведа ?page=-1 получавам "Gre6ka 2" или обърнато с mysql_error() = You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '-4, 2' at line 1

Някакви идеи как да защитя $_GEt['page'] ? Ето целия код : (за странициране е )
PHP: 
<?php
	include('conf.php');	// include your code to connect to DB.
	$tbl_name="obiavi";		//your table name
	// How many adjacent pages should be shown on each side?
	$adjacents = 2;
	
	/* 
	   First get total number of rows in data table. 
	   If you have a WHERE clause in your query, make sure you mirror it here.
	*/
	$query = "SELECT COUNT(*) AS num FROM $tbl_name";
	$resultf = mysql_query($query) or die('Error, query failed'); 
			 if(mysql_num_rows($resultf) == 0) {
        header("Location: all.php");
	} else {
	while($rowak = mysql_fetch_array($resultf)) {
	$total_pages = $rowak['num'];


	
	/* Setup vars for query. */
	$targetpage = "all.php"; 	//your file name  (the name of this file)
	$limit = 2; 				

 	//how many items to show per page


		
	   $page = (int) (!isset($_GET["page"]) ? 1 : $_GET["page"]);

	if($page)
	
		$start = ($page - 1) * $limit; 			//first item to display on this page
	else 
		$start = 0;							//if no page var is given, set start to 0
	
	/* Get data. */
	$sql = "SELECT * FROM $tbl_name LIMIT $start, $limit";
	$result = mysql_query($sql) or die('Gre6ka 2');
	 if(mysql_num_rows($result) == 0) {
        header("Location: all.php");
} else {
	
	/* Setup page vars for display. */
	if ($page == 0) $page = 1;					//if no page var is given, default to 1.
	$prev = $page - 1;							//previous page is page - 1
	$next = $page + 1;							//next page is page + 1
	$lastpage = ceil($total_pages/$limit);		//lastpage is = total pages / items per page, rounded up.
	$lpm1 = $lastpage - 1;						//last page minus 1
	
	/* 
		Now we apply our rules and draw the pagination object. 
		We're actually saving the code to a variable in case we want to draw it more than once.
	*/
	$pagination = "";
	if($lastpage > 1)
	{	
		$pagination .= "<div class=\"pagination\">";
		//previous button
		if ($page > 1) 
			$pagination.= "<a href=\"$targetpage?page=$prev\"> previous</a>";
		else
			$pagination.= "<span class=\"disabled\"> previous</span>";	
		
		//pages	
		if ($lastpage < 7 + ($adjacents * 2))	//not enough pages to bother breaking it up
		{	
			for ($counter = 1; $counter <= $lastpage; $counter++)
			{
				if ($counter == $page)
					$pagination.= "<span class=\"current\">$counter</span>";
				else
					$pagination.= "<a href=\"$targetpage?page=$counter\">$counter</a>";					
			}
		}
		elseif($lastpage > 5 + ($adjacents * 2))	//enough pages to hide some
		{
			//close to beginning; only hide later pages
			if($page < 1 + ($adjacents * 2))		
			{
				for ($counter = 1; $counter < 4 + ($adjacents * 2); $counter++)
				{
					if ($counter == $page)
						$pagination.= "<span class=\"current\">$counter</span>";
					else
						$pagination.= "<a href=\"$targetpage?page=$counter\">$counter</a>";					
				}
				$pagination.= "...";
				$pagination.= "<a href=\"$targetpage?page=$lpm1\">$lpm1</a>";
				$pagination.= "<a href=\"$targetpage?page=$lastpage\">$lastpage</a>";		
			}
			//in middle; hide some front and some back
			elseif($lastpage - ($adjacents * 2) > $page && $page > ($adjacents * 2))
			{
				$pagination.= "<a href=\"$targetpage?page=1\">1</a>";
				$pagination.= "<a href=\"$targetpage?page=2\">2</a>";
				$pagination.= "...";
				for ($counter = $page - $adjacents; $counter <= $page + $adjacents; $counter++)
				{
					if ($counter == $page)
						$pagination.= "<span class=\"current\">$counter</span>";
					else
						$pagination.= "<a href=\"$targetpage?page=$counter\">$counter</a>";					
				}
				$pagination.= "...";
				$pagination.= "<a href=\"$targetpage?page=$lpm1\">$lpm1</a>";
				$pagination.= "<a href=\"$targetpage?page=$lastpage\">$lastpage</a>";		
			}
			//close to end; only hide early pages
			else
			{
				$pagination.= "<a href=\"$targetpage?page=1\">1</a>";
				$pagination.= "<a href=\"$targetpage?page=2\">2</a>";
				$pagination.= "...";
				for ($counter = $lastpage - (2 + ($adjacents * 2)); $counter <= $lastpage; $counter++)
				{
					if ($counter == $page)
						$pagination.= "<span class=\"current\">$counter</span>";
					else
						$pagination.= "<a href=\"$targetpage?page=$counter\">$counter</a>";					
				}
			}
		}
		
		//next button
		if ($page < $counter - 1) 
			$pagination.= "<a href=\"$targetpage?page=$next\">next </a>";
		else
			$pagination.= "<span class=\"disabled\">next </span>";
		$pagination.= "</div>\n";		
	} 
}
}
}
?>

	<?php
while($row = mysql_fetch_array($result))
{
    echo "$row[ime]<br/>";
}


	?>

<?=$pagination?>
 
PHP: 
 $page = (int) ((!isset($_GET["page"]) || $_GET['page'] < 1) ? 1 : $_GET["page"]);

Най-лесния начин.

Но не можах да разбера защо допускаш и букви, след като по принцип очакваш цифри.

Само за цифри може този вариант:

PHP: 
$page = preg_match("#[0-9]{1,}#", $_GET['page']) ? $_GET['page'] : 1;
 
Revelation каза:
PHP: 
 $page = (int) ((!isset($_GET["page"]) || $_GET['page'] < 1) ? 1 : $_GET["page"]);

Най-лесния начин.

Но не можах да разбера защо допускаш и букви, след като по принцип очакваш цифри.

Само за цифри може този вариант:

PHP: 
$page = preg_match("#[0-9]{1,}#", $_GET['page']) ? $_GET['page'] : 1;
Увеличете...

Няма смисъл от цялата гимнастика
PHP: 
$page = (int)$_GET['page'];
if(!isset($page) || !is_numeric($page) || $page < 1)
{
//някакво съобщение за грешка, или спиране на скрипта и редирект към индекса.
}
или със ctype_digit() също сега го видях.
 
inferno16 каза:
Няма смисъл от цялата гимнастика
PHP: 
$page = (int)$_GET['page'];
if(!isset($page) || !is_numeric($page) || $page < 1)
{
//някакво съобщение за грешка, или спиране на скрипта и редирект към индекса.
}
или със ctype_digit() също сега го видях.
Увеличете...

И ти на това, ако не му викаш пък гимнастика... 100 проверки, за нещо, което може да се направи с една единствена.
Така или иначе, ако не получи стойност, си му връща единица, ако е по-малко от 1, пак му връща единица, ако е различно от цифра, пак му връща 1. Не разбирам защо трябва да има толкова проверки, за нещо, което може да се направи с една, която включва шаблон.
И при такъв вид ситуация не е добра идея да вадиш грешка. По-добре допусни потребителя, с коректна стойност, която си му дал, когато той е въвел грешни данни.

Даже друга добра практика, която показват в много книги е, филтрираните данни, да се слагат в отделен масив. А именно ето за това говоря:

PHP: 
$filter = array();

if(preg_match("#^[0-9]{1,}$#", $_GET['page'])){
         $filter['page'] = $_GET['page'];
}

// и оттук насетне използваш само филтрираните данни, вместо да ползваш директно $_GET.
// echo $filter['page']

Но да не изпадаме в чак такива подробности.
 
Има няколко проверки но кое в крайна сметка е по-дълго?
PHP: 
1.
$filter = array();if(preg_match("#^[0-9]{1,}$#", $_GET['page'])){$filter['page'] = $_GET['page'];}

2.
$page = (int)$_GET['page'];if(!isset($page) || !is_numeric($page) || $page < 1){}
Ама хайде да не спорим защото със ctype_digit() е най-лесно. :)
 
Аз всъщност дадох малко грешен pattern. Ето този е правилния:

PHP: 
^[1-9][0-9]{1,}$


А иначе има и друг вариант, който също е много добър:


PHP: 
<?php

$filterPageNumber = filter_input(INPUT_GET, 'page', FILTER_VALIDATE_INT, array('options' => array('min_range' => 1)));

echo $filterPageNumber;

?>

Взима $_GET['page'] валидира го като число, в рамките от 1 до безкрайност. 0 и отрицателни числа не са валидни.
 
Трябва да си влезнал или регистриран, за да отговориш тук.

Back
Горе