php - 清理 PHPSESSID

Question

我正在将 PHPSESSID 传递到 PHP 页面(通过 POST)，我想知道清理输入的最佳方法是什么。 mysql_real_escape_string 就足够了吗？在处理 session ID 时，我应该考虑什么特别的事情吗(我的意思是，它们只能是字母和数字，对吗？)？

编辑:为了澄清这个问题，我真正想知道的是:如果有人篡改了 POST 数据，他是否可以发送一个恶意字符串作为 PHPSESSID，当我调用 session_id($_GET['PHPSESSID']) 时会做一些令人讨厌的事情？我个人想不出有什么，但安全总比后悔好...

谢谢

尼可

Answer 1

想法不错，但据我所知，没有必要清理此输入。 PHPSESSID 将传递给 session_id()。

session_id 确实有some limitations:

Depending on the session handler, not all characters are allowed within the session id. For example, the file session handler only allows characters in the range a-z A-Z 0-9 , (comma) and - (minus)!

但是 session_id() 应该使用错误消息来处理与这些规则的偏差。 (您可能希望捕获该错误消息并在出现错误时终止脚本。)

我能看到的唯一真正的危险是当您使用自定义 session 处理程序时，例如连接到数据库。在这种情况下，您将必须清理输入，例如使用 mysql_real_escape_string()。但是，这应该发生在自定义 session 处理程序内部。

不用说，如果您在某些其他上下文中使用 session ID - 例如，作为 HTML 表单中的参数 - 您需要为该特定输出采取必要的卫生措施(在这种情况下，htmlspecialchars ()).