LINUXSOFT.cz Přeskoč levou lištu
Uživatel: Heslo:  
   CZUKPL

> PHP (82) - zabezpečení vstupů formulářů

Formuláře se musí zabezpečit. O prvku TEXTAREA, jak uvidíme, to platí dvojnásob, protože je specifický.

22.12.2004 15:00 | Petr Zajíc | Články autora | přečteno 38461×

Komerční sdělení: Pořádáme Kurzy PHP

Jak začít... co třeba citací slov Honzy Houšťka, který v diskusi pod jedním článkem našeho seriálu  napsal: "Spoléhat se na nějakou vlastnost PHP je cesta do pekel". Bylo to v diskusi kolem zabezpečení uživatelských vstupů. Což se svým podstatným způsobem týká formulářového prvku TEXTAREA, který jsme minule použili pro zadávání písní.

Tento prvek bývá v PHP mnohdy často špatně zabezpečen. Pojďme se tedy podívat na dva možné obecné zdroje problémů s tímto prvkem a na jeden  specifický problém, týkající se způsobu, jak je použit v naší aplikaci.

Velikost prvku TEXTAREA

V předchozím díle jsme nijak neomezili množství dat, která uživatel může zadat do pole TEXTAREA. Respektive kontrolujeme pouze, zda je vůbec v tomto poli po odeslání něco vyplněno. Takže uživatel by mohl do pole nacpat vědomně či nevědomně příliš mnoho dat a naši aplikaci tak zahltit. To je samozřejmě stav, který nemůžeme strpět. V samotném formuláři sice nastavit maximální počet znaků jednoduše nemůžeme, můžeme ale kontrolovat velikost proměnné po odeslání na server.

Pozn.: Napsat, že nemůžeme omezit maximální počet znaků je nepřesné. Ve skutečnosti to můžeme udělat pomocí skriptů běžících na straně prohlížeče, jako je třeba JavaScript. Jednak je to ale mimo rámec našeho seriálu a jednak je to nespolehlivé, protože JavaScript může být v prohlížeči vypnut, nebo jej prohlížeč vůbec nemusí podporovat.

Můžeme ale udělat ještě víc. Nejen, že můžeme kontrolovat celkovou délku zaslaných dat, můžeme kontrolovat rovněž do kolika řádků (tedy, v našem případě písní) se bude pole dělit. Prohlašme například, že album může mít maximálně 30 písní a že celková délka dat z pole textarea bude 1500 znaků. V takovém případě bychom mohli naše testy rozšířit následovně:

elseif (strlen ($_POST["nazvynovychpisni"])>1500) echo "Máte zadáno příliš mnoho písní";
elseif (
count($pisne)>30) echo "Máte zadáno příliš mnoho písní";

Tím bude zajištěno, že při překročení tohoto limitu se vůbec nedostaneme k databázovým dotazům.

Pozn.: Pro zvídavé - maximální velikost dat formuláře, který PHP vůbec odešle není pochopitelně neomezená. Nastavuje se pomocí volby post_max_size v konfiguračním souboru php.ini. Teoreticky by se tato volba dala i nastavovat pomocí funkce ini_set(), v praxi to však povětšinou bývá zakázáno.

TEXTAREA a HTML

Další moc špatná věc je ta, že TEXTAREA je párový prvek a hodnota uvnitř prvku se nezapisuje jako parametr dovnitř tagu, ale normálně do stránky jako text. Porovnejte, prosím, dva následující zápisy prvků s předdefinovaným textem "abc", jednu TEXTAREU a jeden text:

<textarea rows="1" cols="20">abc</textarea>
<input type="text" value = "abc">

Pravděpodobně si dokážete představit, jak by to dopadlo, kdyby někdo místo abc zadal jiné znaky, třeba </textarea>. To by mohlo naši aplikaci přinejmenším rozhodit, přinejhorším dokonce poškodit. Řešení je několik; víceméně se liší tím, zda nám při nesprávně vyplněném formuláři vrátí opravdu původní nebo již upravené hodnoty. Podle mě nemají HTML tagy v názvech písní co dělat, a mohu proto hned na úvod zpracování příslušného skriptu napsat:

$_POST["nazvynovychpisni"]=strip_tags($_POST["nazvynovychpisni"]);

a všechny tagy zkrátka vymazat. Pokud by se uživatel musel k vyplňování vrátit, už je tam neuvidí. Jiný dobrý způsob spočívá v použití funkce htmlspecialchars, která převede zvláštní znaky (jako jsou třeba "<" a ">") na html entity:

$_POST["nazvynovychpisni"]=htmlspecialchars($_POST["nazvynovychpisni"]);

Co konkrétního použitete, záleží pochopitelně na vás. Platí tady to, že jakékoli ošetření vstupního pole je zcela určitě lepší než žádné a na potíže při použití prvku textarea by se rozhodně mělo myslet.

Pozn.: Někteří programátoři tvrdí, že přímá modifikace proměnné $_POST["cosi"] ztěžuje čitelnost kódu. Je to však věc pohledu; z hlediska PHP je to jen obyčejná proměnná a v našem případě je její modifikace to nejjednodušší, co můžeme udělat. Pokud by to nevyhovovalo vašim nebo firemním standardům, můžete to objít třebas uložením výsledku do jiné proměnné.

TEXTAREA a náš formulář

V programu máme ještě jedno slabé místo, které sice souvisí s prvkem TEXTAREA, ale nesouvisí přímo se zabezpečením. Jde o to, že chování rozdělování řádků je uživatelsky neintuitivní. Nejdřív na to narazí ten, kdo se pokusí odřádkovat i za poslední písní - obdrží varovnou hlášku. Program to myslí dobře - zdá se mu, že uživatel zadal píseň s nulovým počtem znaků. To ale bude uživatele mást.

Zase je více správných řešení. Mohli bychom například závěrečný konec řádku odmazat. To ale neřeší problém, kdy uživatel odřádkuje vícekrát. Rovněž to neřeší problém dvou či více následujících konců řádku uvnitř textu! To je případ, kdy s výhodou můžeme použít sílu regulárních výrazů. Mě se osvědčilo řešení ve stylu:

$_POST["nazvynovychpisni"]=ereg_replace("(\r\n)+", "\r\n", $_POST["nazvynovychpisni"]);
$_POST["nazvynovychpisni"]=ereg_replace("(\r\n)$", "", $_POST["nazvynovychpisni"]);

Což přeloženo do češtiny znamená: Najdi všechny výskyty minimálně jednou se opakujícího konce řádku a nahraď to právě jedním koncem řádku. Tím nám zmizí všechna vícenásobná odřádkování, ale ne to poslední. K čemuž je tu ten druhý řádek, který by se dal převyprávět jako: Pokud řetězec končí koncem řádku, ten konec řádku umaž.

Jiné dobré řešení může spočívat v použití funkce split namísto explode pro získání pole s písněmi. Zatímco totiž explode dělí řetězec řetězcem, dělí split řetězec regulárním výrazem. Je to ale jen pro silné nátury ovládající "regulární výrazivo".

Závěr

Vidíme tedy, že trochu zabezpečit prvek textarea není sice složité, ale že si to musíme trochu promyslet. Obecně platí, že když použijete "uživatelsky" jednodušší rozhraní, přiděláte tím práci programátorovi při ověřování vstupu. V případech, jako je tento, to ale má své opodstatnění.

Změny na portálu

Na současný stav projektu se můžete na našem webu podívat nebo si jej můžete stáhnout.

Pozn.: Aby Vám stažená verze fungovala na lokálním stroji, upravte si hodnotu konstant SQL_HOST, SQL_USERNAME, SQL_PASSWORD a SQL_DBNAME. Případně si je můžete včlenit do konfiguračního souboru podobně, jako jsem to udělal v souboru func.php.

Verze pro tisk

pridej.cz

 

DISKUZE

nefunkcnost po X-te 23.12.2004 21:04 David Gajdos
Nefunkční 24.12.2004 15:46 Petr Zajíc
L Re: Nefunkční 25.3.2011 11:43 Petr Kovařík
Kontrola vstupu na SQL příkazy 25.3.2011 11:46 Petr Kovařík




Příspívat do diskuze mohou pouze registrovaní uživatelé.
> Vyhledávání software
> Vyhledávání článků

18.1.2017 0:49 /František Kučera
Členové a příznivci spolku OpenAlt se pravidelně schází v Praze a Brně. Fotky z pražských srazů za uplynulý rok si můžete prohlédnout na stránkách spolku. Příští sraz se koná už 19. ledna – tentokrát je tématem ergonomie ovládání počítače – tzn. klávesnice, myši a další zařízení. Také budete mít příležitost si prohlédnout pražský hackerspace Brmlab.
Přidat komentář

8.1.2017 17:51 /František Kučera
Máš rád svobodný software a hardware nebo se o nich chceš něco dozvědět? Přijď na sraz spolku OpenAlt, který se bude konat ve čtvrtek 19. ledna od 18:30 v pražském hackerspacu Brmlab. Tentokrát je tématem srazu ergonomie ovládání počítače – tzn. klávesnice, myši a další zařízení. K vidění bude mechanická klávesnice dasKeyboard, trackball Logitech nebo grafický tablet (a velký touchpad) Wacom. Přineste i vy ukázat svoje zajímavé klávesnice a další HW. V 18:20 je sraz před budovou, v 18:30 jdeme společně dovnitř, je tedy dobré přijít včas. Podle zájmu se později přesuneme do nějaké restaurace v okolí.
Přidat komentář

1.12.2016 22:13 /František Kučera
Máš rád svobodný software a hardware nebo se o nich chceš něco dozvědět? Přijď na sraz spolku OpenAlt, který se bude konat ve čtvrtek 8. prosince od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5). Sraz bude tentokrát tématický. Bude retro! K vidění budou přístroje jako Psion 5mx nebo Palm Z22. Ze svobodného hardwaru pak Openmoko nebo čtečka WikiReader. Přijďte se i vy pochlubit svými legendami, nebo alespoň na pivo. Moderní hardware má vstup samozřejmě také povolen.
Komentářů: 1

4.9.2016 20:13 /Pavel `Goldenfish' Kysilka
PR: Dne 22.9.2016 proběhne v Praze konference Cloud computing v praxi. Tématy bude např. nejnovější trendy v oblasti cloudu a cloudových řešení, provozování ERP v cloudu, o hostování různých typů softwaru, ale třeba i o zálohování dat nabízeném podnikům formou služby.
Přidat komentář

1.9.2016 11:27 /Honza Javorek
Česká konference o Pythonu, PyCon CZ, stále hledá přednášející skrz dobrovolné přihlášky. Máte-li zajímavé téma, neváhejte a zkuste jej přihlásit, uzávěrka je již 12. září. Konference letos přijímá i přednášky v češtině a nabízí pomoc s přípravou začínajícím speakerům. Řečníci mají navíc vstup zadarmo! Více na webu.
Přidat komentář

27.8.2016 8:55 /Delujek
Dnes po 4 letech komunitního vývoje vyšla diaspora 0.6.0.0
diaspora* je open-source, distribuovaná sociální síť s důrazem na soukromý
Více v oficiálním blog-postu
Přidat komentář

24.8.2016 6:44 /Ondřej Čečák
Poslední týden CFP LinuxDays 2016; pokud byste rádi přednášeli na LinuxDays 2016 8. a 9. října v Praze, můžete svůj příspěvek přihlásit, následovat bude veřejné hlasování.
Přidat komentář

9.8.2016 22:56 /Petr Ježek
Zařazení souborového systému reiser4 do jádra 4.7 znamená konečně konec patchování jádra jen kvůli možnosti použít reiser4.
Přidat komentář

   Více ...   Přidat zprávičku

> Poslední diskuze

18.1.2017 20:18 / martin horky
Spolupraca linuxu a microsoftu

17.1.2017 9:57 / Pavel Hrubeš
Re: Externí USB televizní karta

4.1.2017 11:24 / Marcum
extension to house

3.1.2017 10:09 / bolden
country cottages

4.12.2016 22:54 / František Kučera
Dárek

Více ...

ISSN 1801-3805 | Provozovatel: Pavel Kysilka, IČ: 72868490 (2003-2017) | mail at linuxsoft dot cz | Design: www.megadesign.cz | Textová verze