php - 在PHP中序列化数组，防止注入(inject)

Question

我正在编写一个使用序列化数组存储数据的 PHP 脚本。如何防止序列化中的注入(inject)？命名您的帐户将非常容易:

something";s:6:"access";s:5:"admin";

举个简单的例子。然后，用户可以以某种方式添加其余所需的参数。 addlashes 会为此工作吗？ php反序列化是否将其视为转义字符？如果是这样，是否可以在不迭代的情况下将添加斜杠应用于整个数组？

谢谢您的帮助!

Answer 1

找出答案的最佳方法是尝试使用其中包含 "的字符串序列化数组

无论如何:是的，序列化确实考虑了您存储的数据中的双引号:

$ php -r "var_dump(unserialize(serialize(array('\"'))));"
array(1) {
  [0]=>
  string(1) """
}