行动中最安全的值属性 <form> 标签

Question

我想知道action属性最安全的选项是什么，因为许多人说$_SERVER['PHP_SELF']不安全。 为操作属性提供空字符串是否可以？ 但是$_SERVER['PHP_SELF']和空字符串的输出是不同的。

Answer 1

我认为填充表单的action属性确实没有真正的“安全”方法。 例如，我可以随时打开Web控制台并修改表单。

就是说，我认为您真正关心的是，如果有人发送了一个链接，在该链接中使用了旨在更改PHP_SELF值的漏洞。 获得链接的人无法知道该表格已被破坏。

因此，我通常喜欢在可以的地方对操作URL进行硬编码。 如果它们必须是动态的，则可以针对希望确保其有意义的URL列表进行验证。

空的action属性也没有错，但是您可以看看带有action =“”的Forms

编辑：总结一下我的原始帖子：我认为硬编码URL是最好的。 接下来是“＃”或空字符串（实际上，它仍然是硬编码的URL）。 我尽量避免使用PHP_SELF，并在必须使用它时针对已知的合法URL对其进行验证。