Где санировать $ PHP _POST [] вход?

Ваш запрос идет к контроллеру обычно, вы должны делать это в контроллере, контроллер, получив эти данные и санировав их, может затем взаимодействовать с моделью с безопасными данными.

Все эти ответы относятся к методам PHP в целом, но не имеют отношения к CodeIgniter.

Данные POST

CodeIgniter автоматически очищает ваши данные POST, когда вы используете $ this-> input-> post ('item_name'), если у вас включен global_xss в вашем config.php. Если вы хотите очистить только определенные элементы, вы можете использовать:

$this->input->post('item_name', TRUE);

В любом случае вы защищены от XSS-атак и других проблем.

SQL-инъекция

Все, что вводится в базу данных, автоматически экранируется, если вы используете ActiveRecord (insert (), update () и т.д.) или привязки query ().

$this->db->query('INSERT INTO bla (?, ?)', array($foo, $bar));

Это все сбежало, так что не надо больше возиться с тем, что куда попало. Вы можете просто написать код и оставить безопасность в руках фреймворка.

Санитарная обработка зависит от того, для чего обрабатываются данные.

Обычно существует два типа очистки:

• ввод базы данных
• внешний вывод

В первом случае он предназначен для предотвращения атак SQL-инъекций , а второй - для предотвращения Атаки межсайтового скриптинга .

Итак, чтобы ответить на ваш вопрос (относительно вышеупомянутых векторов атак), ваша дезинфекция должна быть там, где присутствуют уязвимости, а точнее:

• где вы пишете SQL-запросы с переменными в них (моделях)
• где вы пишете любой вывод (обычно HTML) (представления)

Надеюсь, это помогло.

Контроллеры должны быть тонкими.

Ввод PHP должен быть санирован в модели для всего, что связано с тем, где модель его хранит. т.е. предотвращать SQL-инъекции в модели.

Он должен быть санирован в представлении для всего, что имеет отношение к конечному выводу. т.е. предотвратить XSS в представлении.

В принципе, вся санация должна быть сделана вовремя, чтобы предотвратить причинение вреда плохими данными.

Я бы сделал это только в своем представлении. Для хранения в базе данных нет необходимости проводить санитарную обработку. Достаточно просто вывести чистые данные. Вам также нужно будет экранировать данные для предотвращения SQL-инъекций.

Контроллер - это как привратник приложения, поэтому он должен быть местом, где вы проверяете все вводимые данные.

По моему мнению, пользовательский ввод должен быть очищен в контроллере , поскольку он представляет собой обязательный переход для данных между вашим представлением (место, где вы показываете информацию пользователю и вы получаете ввод пользователя) и вашу модель (где вы храните данные).

Модель всегда следует рассматривать как подключаемый компонент в вашей структуре MVC, что означает, что вы можете, например, переключить свою модель (реализацию базы данных и / или способ взаимодействия с ней) на определенный момент. По этой причине проверка пользовательских данных не должна быть привязана к конкретной реализации БД. Только та часть sanitization , которая специфична для БД (если таковая имеется), должна быть сохранена в модели.

Сказал, что окончательное решение всегда за вами. Просто имейте в виду:

• Входные данные должны быть всегда подтверждены
• Дизайн должен быть согласованным . Если вы решите очистить пользовательский ввод в контроллере, попробуйте всегда сделать это там. Это сделает код более чистым и понятным

. Надеюсь, это поможет.

Я бы поместил его в контроллер, который обрабатывает отправку формы. Как указывает Фил Стерджен, если в вашей конфигурации включена опция global_xss, CodeIgniter все равно будет обрабатывать цератиновый уровень дезинфекции.

В качестве дополнительного уровня безопасности я бы использовал библиотеку CodeIgniter form_validation. Вот вам образец контроллера:

function processForm()
{

    // fields will need to be validated so load library
    $this->load->library('form_validation');

    // field name, error message, validaiton rules
    $this->form_validation->set_rules('first_name','Name','trim|required');

    if($this->form_validation->run() == FALSE)
    {
        // load form again showing errors
    } else {
        // update database or proceed to stage 2
    }

 }

Надеюсь, это поможет! Ура