惡意代碼和PHP

Question

在嘗試了解常見的安全漏洞時，我有一個非常簡短的問題。 通過一些巧妙的輸入，這種說法能成為現實嗎？

if ($_GET["h"] != $_GET["h"]) {

}

（僅以此為例，不打算使用該確切的代碼：P）

Answer 1

可能不是，但是如果您非常擔心，最好使用不相同而不是不相等 。

if ('1' != 1) { echo 'true'; } // Does not echo
if (1000 != "10e4") { echo 'true'; } // Does not echo
if ('1' !== 1) { echo 'true'; } // echoes true

有關PHP運算符的更多信息，請訪問： http : //php.net/manual/en/language.operators.comparison.php

Answer 2

據我所知。

來自$_GET參數通過URL傳輸，例如page.php?h=value 。 提交后，您將無法在第一個$_GET和第二個$_GET之間改變主意...