PHP, POST를 통해 배열 전달

Question

POST을 통해 배열을 전송하는 가장 안전한 방법은 무엇입니까?

foreach ($id as $array) 
{ 
<input type="hidden" name="prova[]" value="<?php echo $array; ?>"/> 
} 
<input type="submit" name="submit"/> 

또는 하나의 변수를 생성 변수를 전달하고 새로운 배열에 값을 다시 얻을 explode()를 사용 implode()를 사용?

Answer 1

서버 (PHP)에 이미 게시되어있는 경우 게시를 통해 보내는 이유는 무엇입니까?

배열을변수에 저장하지 않고 양식을 제출할 때 사용할 수 있도록 설정하면 클라이언트가 소스를 편집하여 변수를 변경할 수 없기 때문에 더 안전 할 수 있습니다.

모두에 따라 달라집니다. 정말로. 당신이 보안에 대해 질문하는 경우

Answer 2

편집는 바닥 편집

PHP이 특정 목적을 위해 제공 serialize 기능을 가지고 나의 부록을 참조하십시오. 배열에 전달하면 문자열 표현이됩니다. 다시 배열로 변환하려면 unserialize 함수를 사용하면됩니다.

$data = array('one'=>1, 'two'=>2, 'three'=>33); 
$dataString = serialize($data); 
//send elsewhere 
$data = unserialize($dataString); 

데이터를 데이터베이스에 저장하기 위해 종종 지연 코더 (lazy coders)에서 사용됩니다. 권장하지는 않지만 빠르고/더러운 솔루션으로 작동합니다.

부록

난 당신이하지 "안전", 안정적으로 데이터를 전송하는 방법을 찾고 있었다 인상이었다. 데이터를 전달하는 방법에 관계없이 사용자 시스템을 통과하는 경우 전혀 신뢰할 수 없습니다. 일반적으로 서버에 어딘가에 저장해야합니다. & 자격 증명 (쿠키, 세션, 비밀번호 등)을 사용하여 찾아보십시오.

Answer 3

당신은 세션에 넣어 수 :

session_start(); 
$_SESSION['array_name'] = $array_name; 

또는 당신이 양식을 보내려면 당신이 그것을 직렬화 할 수 있습니다 직렬화 된 배열 작업 할

<input type='hidden' name='input_name' value="<?php echo htmlentities(serialize($array_name)); ?>" /> 

$passed_array = unserialize($_POST['input_name']); 

참고 양식의 전송 방법으로 POST를 사용해야합니다. GET에는 약 1024 자 정도의 크기 제한이 있기 때문입니다.

가능한 한 세션을 사용하고 싶습니다.

Answer 4

고려해야 할 사항이 두 가지 있습니다. 사용자가 양식을 수정할 수 있으며 XSS (Cross Site Scripting)로부터 보호해야합니다. 사용자가 자신의 입력으로 HTML 들어가면

XSS

XSS이다. 예를 들어 사용자가이 값을 제출하면 어떻게됩니까?:

" /><script type="text/javascript" src="http://example.com/malice.js"></script><input value=" 

이

은과 같이 양식에 기록 될 것입니다 :이 방지하기 위해

<input type="hidden" name="prova[]" value="" /><script type="text/javascript" src="http://example.com/malice.js"></script><input value=""/> 

가장 좋은 방법은 입력을 확보하기 위해 htmlspecialchars()을 사용하는 것입니다. 이 문자는 <과 같은 문자를 <으로 인코딩합니다. 예를 들어 :

<input type="hidden" name="prova[]" value="<?php echo htmlspecialchars($array); ?>"/> 

당신이있어 XSS에 대해 자세히 읽을 수 있습니다 : 나는 귀하의 사이트에 있다면 https://www.owasp.org/index.php/XSS

양식 수정

을, 나는 HTML을 수정하는 크롬의 개발자 도구 나 방화범을 사용할 수 있습니다 귀하의 페이지의 양식에 따라 악의적으로 사용될 수 있습니다.

예를 들어 추가 값을 배열에 추가하거나 배열에 속하지 않은 값을 추가 할 수 있습니다. 이 파일 시스템 관리자라면 존재하지 않는 파일이나 중요한 정보가 포함 된 파일을 추가 할 수 있습니다 (예 : myfile.jpg을 ../index.php 또는 ../db-connect.php으로 바꿉니다).

간단히 말해 입력 내용을 이해하고 양식에 안전한 입력 만 사용해야합니다. 숫자가 존재하는지 확인하고 데이터베이스에서 파일 이름을 추출 할 수 있으므로 파일 ID (숫자)는 안전합니다 (데이터베이스에 유효성이 검증 된 입력이 있다고 가정 함). 파일 은 위에서 설명한 이유로 안전하지 않습니다. 파일 이름의 유효성을 재확인해야합니다. 그렇지 않으면 아무 것도 변경할 수 없습니다.

Answer 5

http://php.net/manual/en/reserved.variables.post.php

첫 번째 주석 답변이 있습니다.

<form ....> 
<input name="person[0][first_name]" value="john" /> 
<input name="person[0][last_name]" value="smith" /> 
... 
<input name="person[1][first_name]" value="jane" /> 
<input name="person[1][last_name]" value="jones" /> 
</form> 

<?php 
var_dump($_POST['person']); 

array (
0 => array('first_name'=>'john','last_name'=>'smith'), 
1 => array('first_name'=>'jane','last_name'=>'jones'), 
) 
?> 

name 태그는 배열로 작동 할 수 있습니다.