Ošetření include – PHP – Fórum – Programujte.com

Ahoj, mám problém stímto scriptem.

<? 	

	if (!$_GET["st"])  {

  	$_GET["st"]="ds";}

	$_GET["st"]=$_GET["st"].".php";

	if (!File_Exists($_GET["st"])) 

	$_GET["st"]='ds.php';

 	include ($_GET["st"]); 

?>

nechapu proc to ukladas do $_GET

taky bych dal includy do nejakeho podadresare...

a mozna:
v hlavnim scriptu dej treba define('IN_SCRIPT',1);
a v includech dej: if ( ! defined('IN_SCRIPT') ) die("nelze primo do scriptu!!");

totiz muzou odhadnout nazvy tech includu a pak si je jen pekne otevrit sami .. a pokud neco delaj bez kontroly tak snadno muzou spustit

krom toho muzes includovat libovolny .php kdekoliv se ti zachce ... jen musi existovat....
mozna by nebylo od veci udelat neco jako prekladovou tabulku:

$neco = array(
'ds' => 'ds.php',
'ts' => 'ts.php',
);

if ( exist($neco[$_GET['st']]) ) {
include $neco[$_GET['st']];
} else {
include $neco['ds'];
}

pokud jeste muzes tak zadej cestu treba jen "./" a nikdo nebude moc spoustet soubory od jinud

To kezalb : Spíše se přikláním k řešení KIIV , je dobré mít kontrolu nad kódem.

http://programujte.com/index.php?akce=clanek&cl=2007122003-bezpecnost-v-php-uvodni-dil

mimochodem uzasna chyba je kdyz zacatecnici delaj diskuzi pomoci zapisovani do souboru a pak ten soubor includujou :smile6:

To KIIV : ja se vždy jakemukoliv zapisu do souboru chtel vyhnout. pak narazim na prava 777 a safe mode(ic.cz) a proste komplikace.

&edit: Alespon ze vetsinou davaji strip_tags a neco takovyho...

To pawlik : ja jedu zasadne rovnou pres databaze
co se s tim parat.. akorat zacatky s databazi sou nekdy narocny .. kdyz to jeste nezna

To KIIV : nejsou o moc hroznejsi, nez kdyz vypisujes prispevky ze souboru ;-) a pak to treba radis dle data ;-)
A editace prispevku v souboru? na tom si par dni pohraji.

jasne ale musis se s nima nejak naucit... pokud vim tak sem zezacatku trochu zapolil s vytvarenim tabulek a vkladanim dat... ale tak ted uz delam pomerne slozity aplikace na sms

To KIIV : abych byl uprimny, nevim, jestli bych dokazal vytvorit tabulku ;-) Create table neco(id...)? Zlaty php admin na ic.cz... proste vytvareni tabulek jsem si nikdy nemohl zapamatovat.

To pawlik : no ja bych zmakl i cizi klice a tak :D
ikdyz na nektery ty libovosti uz bych musel mit asi manual