PHP文件注入(inject)？

Question

我有一个脚本调用执行某些处理的 bash 脚本，但该脚本使用用户输入的数据调用 bash 脚本。

我想知道是否有办法确保此人(这是一个文件上传)不会像 ;cd/;rm -rf * 一样附加到文件末尾。或者其他类似的东西。正常的 MYSQL 注入(inject)方法会起作用吗？有更好的选择吗？

Answer 1

能够注入(inject) shell 命令将是……shell 命令注入(inject)，而不是文件注入(inject)和 SQL 注入(inject)。为了防止它，使用 escapeshellarg :

exec('bash bash-script ' . escapeshellarg($userInput));