Ne pas accès superglobales $ _REQUEST tableau directement

Question

je jusqu'à présent pu accéder à _REQUEST $ dans mon PHP comme suit:

//JS 
xmlhttp.open("GET", "logic.php?q=" + itemOne + "&w=" + itemTwo, true); 

//PHP 
$q = $_REQUEST['q']; 
$w = $_REQUEST['w']; 

Les articles envoyés par obtenir utilisé pour les requêtes serveur MSSQL (de sqlsrv).

Ma question est de savoir quelles seraient les meilleures pratiques pour faire ce qui précède différemment/correctement? Je lis quelque part que ce n'est pas bon en termes d'être vulnérables aux attaques par injection SQL, etc.

Answer 1

Ma question est ce que serait les méthodes les plus pratiques pour faire le ci-dessus différemment/correctement?

L'exemple JavaScript que vous avez utilisé a utilisé une demande GET. La façon "correcte" d'accéder aux paramètres serait via le tableau $_GET de PHP. L'utilisation de $_REQUEST est une mauvaise habitude car vous perdez le contrôle de l'arrivée des données. Je vais vous donner un exemple simple:

Les sites Web qui utilisent l'authentification par base de jetons nécessitent souvent que vous envoyiez le jeton en tant que données POST. Si l'échange d'informations confidentielles via le paramètre URL est considéré comme non sécurisé, un script PHP qui obtient les données de $_REQUEST n'a aucun moyen de savoir comment les données sont arrivées et acceptera par erreur un jeton mal envoyé. Un meilleur script rechercherait le jeton dans $_POST. Si ce n'est pas là, alors il n'y a pas de jeton; même si un utilisateur a essayé de l'envoyer dans l'url.

Je lis quelque part que ce n'est pas bon en termes d'être vulnérables aux attaques par injection SQL, etc.

injection SQL n'a rien à voir avec $_REQUEST spécifiquement. Cela peut arriver à chaque fois que vous insérez des données soumises directement dans vos requêtes SQL, que les données proviennent de $_REQUEST, $_GET, un fichier ... Cette conception de code terrible permet à un attaquant de prendre le contrôle de votre SQL et d'ordonner à votre DB il ou elle souhaite (par exemple: exfiltrer ou supprimer vos données). Pour vous protéger contre cela, renseignez-vous sur instructions préparées et requêtes paramétrées