安全包括php

Question

这是安全的吗？或者是否有可能使用一些RFI/LFI或者它叫什么？

$request_uri = explode('/', $_SERVER['REQUEST_URI']); 
$script_name = explode('/', $_SERVER['SCRIPT_NAME']); 

for ($i = 0; $i < sizeof($script_name); $i++) { 
    if ($request_uri[$i] == $script_name[$i]) 
    { 
     unset($request_uri[$i]); 
    } 
} 

$command = array_values($request_uri); 

if (file_exists('controllers/' . $command[0] . '.php')) { 
    include 'controllers/' . $command[0] . '.php'; 
} 

更新：

if (isset($_GET['p'])) { 
    $pages = array('home', 'login', 'register'); 
    $page = filter_var($_GET['p'], FILTER_SANITIZE_URL); 

    if (in_array($page, $pages) && file_exists($page . '.php')) { 
     include ($page . '.php'); 
    } else { 
     include ('404.php'); 
    } 
} 
else { 
    include ('home.php'); 
} 

Answer 1

您的代码输送由用户PHP的include提供任意字符串;这是不好的，几乎是一个教科书的例子https://www.owasp.org/index.php/Server-Side_Includes_(SSI)_Injection

你想解决什么问题需要这个？

Answer 2

那么，如果你确保$command[0]只包含字母数字字符（以及可能的下划线和连字符），那么可能有点安全。

像下面可能做的工作：

if (!ctype_alnum($command[0])) { 
    // Hacking attempt! 
    exit; 
} 

但它仍然是一个坏主意，包括基于用户输入的文件。更好的方法是使用将URI映射到控制器的查找表，并使用自动加载来包含相关文件。这样，用户输入和包含之间就有了很大的分离。