Sérialisation d'un tableau en PHP, empêchant l'injection

Question

J'écris un script PHP qui utilise des tableaux sérialisés pour stocker des données. Comment puis-je empêcher l'injection en sérialisation? Il serait très facile de nommer votre compte:

something";s:6:"access";s:5:"admin"; 

pour un exemple simple. L'utilisateur peut alors ajouter le reste des paramètres nécessaires d'une manière ou d'une autre. Est-ce que addslashes fonctionnerait pour ça? Le php unserialize prend-il cela comme un personnage échappé? Si oui, est-il possible d'appliquer addslashes à un tableau entier sans itération à travers?

Merci pour l'aide!

Answer 1

La meilleure façon de savoir serait d'essayer sérialisation d'un tableau avec une chaîne qui a "dans ce

Quoi qu'il en soit: oui, sérialisation ne représente pour les guillemets doubles dans les données que vous stockez:

$ php -r "var_dump(unserialize(serialize(array('\"'))));" 
array(1) { 
    [0]=> 
    string(1) """ 
}