валидация — ввод PHP GET vars sanitizing

Для моего приложения, написанного на PHP 5+, у меня есть common.php который включен со всех других страниц. В этом у меня есть include sanitize.php которая направлена ​​на санацию любых входных переменных, используемых в URL. Итак, таргетинг $_GET[] ценности.

Это просто для одного места, где я могу привести в порядок любые переменные, если они используются, и использовать их в коде позже.

Я вижу, что нет никакого аккуратного способа очистки, основанного на ожидаемых / желаемых данных. Метод, на который я сначала смотрел, был таким sanitize.php имея foreach для обхода любых переменных, найдите требуемый тип очистки и добавьте очищенные переменные в отдельный массив для использования в моем коде.

Вместо того, чтобы использовать фильтры очистки PHP, чтобы сохранить его стандарт, я решил использовать регулярные выражения. Типы, которые я хочу alphaonly, алфавитно-цифровой, Эл. адрес, пароль. Хотя «пароль» позволил бы некоторые специальные символы, я хочу удалить или даже избежать потенциально «опасных», таких как ' " чтобы затем быть включены в MySQL БД. У нас есть европейская база пользователей, поэтому возможны разные локали, но я надеюсь, что это не будет большой проблемой.

Будет ли это «хорошим» решением для начала или я пытаюсь заново изобрести колесо?

Случайная страница

/mypage.php?c=userid&p=lkasjdlakjsdlakj&z=....
(use SANITIZED_SAFE_INPUT_VARS variable only)

sanitize.php

var aryAllowedGetParamNames = array(
"c" => "alphaonly",         //login
"p" => "alphaemail",        //password
"e" => "email"              //email
//...
);

var sanitizeTypes = array (
"alphaonly" => "[a-zA-Z]",
"alphanumeric" => "[a-zA-Z0-9]",
"email" => "[a-zA-Z0-9]...etc");

var SANITIZED_SAFE_INPUT_VARS = array();

foreach ($_GET as $key => $value) {
//apply regex and add value to SANITIZED_SAFE_INPUT_VARS
}

РЕДАКТИРОВАТЬ

Кажется, что есть мнение об использовании паролей в URL. Я объясню немного подробнее. Вместо использования приглашения POST с именем пользователя и паролем я использую асинхронный вызов ajax для _db_tryLogin.php с параметрами для ИД пользователя и пароля. Имя пользователя ВСЕГДА — текстовая строка, состоящая только из 6 альф, а пароль — md5 того, что было введено. Мне известно о мнении о том, что MD5 недостаточно «безопасен».

JS в настоящее время MD5s пароль и отправляет его на _db_tryLogin.php,

-> async : _db_login.php?c=ABCDEF&p=SLKDauwfLKASFUWPOjkjafkKoAWOIFHF2733287

Это вернет асинхронный ответ «1» или «0». Оба приведут к обновлению страницы, но если _db_tryLogin.php Страница обнаруживает пароль, а идентификатор пользователя совпадает с одной записью в БД, затем устанавливаются переменные сеанса, и сайт знает, что пользователь вошел в систему.

Я использовал MD5 для асинхронного запроса просто для быстрого хеширования пароля, чтобы он не передавался в виде открытого текста.

_db_tryLogin.php принимает пароль, который md5(plainpass) снова добавляет SALT и MD5, и затем это сравнивается с пользователем в БД.

Пароль БД хранится = md5 (SALT.md5 (обычный))