从GET构造DateTime（）是否安全？

Question

以下代码安全吗？

$d = new DateTime($_GET["date"]);

AFAIK没有直接的方法将日期格式字符串用于恶意目的。 但是，不同的操作系统可能会有一些特殊性，因此-您是否要添加其他检查以确保日期看起来与yyyy-mm-dd完全一样？

我同时使用PHP5.6和PHP7。

Answer 1

是的，此代码始终是安全的。 在最坏的情况下，有人尝试发送恶意内容，并且由于不是有效日期而引发异常。 我将其包装在try / catch中：

try {
    $date = new \DateTime($_GET["date"]);
} catch (\Exception $e) {
    // Log and return a status code of 404 or similar
}