Санация в плагине WordPress
Я написал плагин для WordPress, но WordPress отклонил его из-за очистки. Согласно WordPress:
«## Пожалуйста, продезинфицируйте ваши POST звонки
Вы неправильно очищаете свои вызовы POST / GET / REQUEST.
Все случаи, когда данные $ _POST вставляются в базу данных или в файл, ДОЛЖНЫ быть должным образом очищены для обеспечения безопасности. Это также верно для обработанных вызовов $ _REQUEST. Кроме того, обеззараживая данные POST, вы уменьшите вероятность уязвимостей XSS.
Использование Stripslashes недостаточно, вам нужно использовать методы проверки входных данных или подобные вещи, чтобы защитить ваш плагин. Конечная цель заключается в том, чтобы вы гарантировали, что неверные данные НИКОГДА не обрабатываются. «
Могут ли некоторые помочь мне добавить один код фильтра, который может очистить все мои запросы $ _POST, или каким-либо другим способом?
Спасибо!
Решение
Правильная защита вместо санитарии
Входная санитария не является правильным подходом к безопасности. Он может использоваться дополнительно к надлежащим механизмам защиты, но не сам по себе.
Нет ни одного фильтра, который может дезинфицировать каждый вход. Если бы безопасность была такой простой, каждый сайт был бы безопасным.
Например, чтобы предотвратить внедрение SQL, вам нужно использовать подготовленные операторы при вставке данных в базу данных.
А для XSS вы должны кодировать символы перед их печатью.
Таким образом, эти две атаки не только требуют различных действий для защиты от них, но и предотвращаются в разное время.
Для WordPress эти статьи должны помочь вам:
- WordPress: защита от внедрения SQL
- WordPress: кодирование против XSS
- OWASP: как предотвратить XSS (список мест, где кодирование недостаточно для предотвращения XSS).
санитария
Хорошо, но WordPress попросил вас о надлежащей санитарии. Я мог предположить, что они просто сформулировали это плохо, и это означало, что вы должны защитить от XSS и SQL-инъекций.
Если вы хотите добавить санитарию (в дополнение к подготовленным операторам и кодировкам, а не вместо них), ознакомьтесь со следующими ссылками:
Другие решения
Других решений пока нет …