行動中最安全的值屬性 <form> 標簽

Question

我想知道action屬性最安全的選項是什么，因為許多人說$_SERVER['PHP_SELF']不安全。 為操作屬性提供空字符串是否可以？ 但是$_SERVER['PHP_SELF']和空字符串的輸出是不同的。

Answer 1

我認為填充表單的action屬性確實沒有真正的“安全”方法。 例如，我可以隨時打開Web控制台並修改表單。

就是說，我認為您真正關心的是，如果有人發送了一個鏈接，在該鏈接中使用了旨在更改PHP_SELF值的漏洞。 獲得鏈接的人無法知道該表格已被破壞。

因此，我通常喜歡在可以的地方對操作URL進行硬編碼。 如果它們必須是動態的，則可以針對希望確保其有意義的URL列表進行驗證。

空的action屬性也沒有錯，但是您可以看看帶有action =“”的Forms

編輯：總結一下我的原始帖子：我認為硬編碼URL是最好的。 接下來是“＃”或空字符串（實際上，它仍然是硬編碼的URL）。 我盡量避免使用PHP_SELF，並在必須使用它時針對已知的合法URL對其進行驗證。