php - $_SERVER ["HTTP_HOST"] 有多安全？

Question

我有一个充满网站 url 的数据库，主键是网站的 $_SERVER["HTTP_HOST"]。

当用户导航到 ... 让我们说 www.my-epic-example-url.com 时，它将连接数据库并使用 $_SERVER["HTTP_HOST"] 该网站，然后获取引用该网站的所有数据!

我想知道的是，$_SERVER["HTTP_HOST"] 有多安全？

可以外部修改吗？

我问的唯一原因是因为我前一段时间读了一篇文章(不记得它在哪里)说使用 $_SERVER 时要小心，因为它不安全...

这是真的吗？

Answer 1

$_SERVER["HTTP_HOST"] 是从客户端发送的 HTTP Host header 。这使得此 header 通常不安全。

但是，如果您处于典型的虚拟主机设置中，其中 Web 服务器根据 VirtualHost 配置决定执行哪个脚本，而 VirtualHost 配置又由 HTTP Host header 触发，您的脚本 < em>不应该除非在该 header 中收到已知的白名单值，否则不会执行。

如果 Web 服务器不关心 Host header 并为任何和所有请求执行特定脚本，那么这个值绝对可以是任何值。