php - 如何保护 $_SERVER ['PHP_SELF' ]？

Question

我正在使用下面的代码来控制分页。它使用 $_SERVER['PHP_SELF'] 所以我想知道这种方式是否安全，或者我必须做什么才能使 $_SERVER['PHP_SELF'] 安全？

<?php 

    if($rows > 10) {
        echo '<a id=nex href="'.$_SERVER['PHP_SELF'].'?pg='.($startrow+10).'">
        Next</a>';
    } 

    $prev = $startrow - 10;

    if ($prev >= 0) {
        echo '<a id=pex href="'.$_SERVER['PHP_SELF'].'?pg='.$prev.'">
        Previous</a>';
    }

?>

Answer 1

您应该使用filter_input:http://php.net/filter_input

$phpSelf = filter_input(INPUT_SERVER, 'PHP_SELF', FILTER_SANITIZE_URL);

然后使用 $phpSelf 代替 $_SERVER['PHP_SELF']。

这比 htmlspecialchars 好，但理想的解决方案是使用像 http://htmlpurifier.org/ 这样的工具