Question

Some may know that PHP methods can be remotely invoked from Flash. Sometimes the input parameter of a remote PHP method is an array of integers. Because PHP is dynamically typed an attacker can pass an array of anything. The array of integers has to be used in a SQL query. At the moment I m preventing injection like this:

foreach ($unsafeArray as $value)
    $safeArray[] = (int)$value;

你推荐什么？也许我应该开始使用Java:D

Answer 1

您可以使用以下方法：$aSafeArray=array_map（intval，$aUnsafeArray）以确保所有传递的值都是整数。

My advice would be to start using prepared statements! Example:

$o->bindParam( :anint , $iInt, PDO::PARAM_INT);

Answer 2

你推荐什么？

我不是flash专家，但实际上，只要知道PHP方法的名称就可以调用它，并且参数可以作为数组传递。因此，问题实际上不是远程方法调用，而是输入过滤和验证。

根据预期的行为，我会使用intval，而不是硬转换为int（AFAIR它会在无效值上返回0），否则你可能会抛出异常或其他什么。你必须首先定义它的行为。

也许我应该开始使用Java

不需要，除非您想要一个在编译和运行时都具有开发速度和巨大内存需求的臃肿解决方案：p

友情链接