php - 清理 LDAP_bind 查询

Question

我知道，当我从用户输入的数据中查询 PHP 中的 MySQL 数据库时，应该对数据进行清理。对于我正在启动的项目，我将使用 ldap_bind() 函数针对 Active Directory 进行身份验证以使用登录。

我已采取措施检查密码以防止匿名绑定(bind)尝试，但我想知道我是否需要采取任何其他预防措施，就像我在使用用户输入的数据时通常会采取的那样。或者这是 Active Directory 会自行处理的事情？

Answer 1

我是一个 OpenLDAP 的人，但如果我没记错的话，没有办法用特殊字符来利用它。

但是，这并不意味着删除您知道不会存在的内容不是好的做法，尤其是在用户名或生成的绑定(bind)路径中。例如:

$myname = preg_replace( "/[^a-zA-Z0-9_\-]/", "", $myname );

这会去掉除小写、大写、数字、下划线、空格和破折号之外的所有内容。使用“只允许这个”逻辑比“拒绝某些东西”总是更安全。你永远无法想出所有的事情来拒绝。