[php] include e sicurezza

[fbamt]

Cosa devo fare o verificare per garantire la sicurezza del comando include?


so che la domanda è generica......

ciao
Fabio

[PaTeR]

Originariamente inviato da fbamt
Cosa devo fare o verificare per garantire la sicurezza del comando include?


so che la domanda è generica......

ciao
Fabio

Anch'io lo so...
In che senso che sia sicura? Vuoi che una pagina non venga inclusa da un'altro sito o che?

[fbamt]

Ovvero che qualcuno che conosca il php meglio di me (cioè il 99% di chi possiede un Pc) e con intenzioni non amichevoli possa tentare di sostituire il file che richiamo con l'include con un altro...(esempio stupido) o cose del genere...In parole povere devo prevedere dei controlli sui file che richiamo con include?

grazie
Fabio

[Jackson]

Semplice basta non fare una cosa così:

www..../pagina.php?apri=pagina.html

e nel php di pagina.php metti

<?
include($apri);
?>

Errore gravissimissimo. Pericolosità massima. Se vuoi la sicurezza assoluta fai un include finito:

include("file.inc.php");

oppure ricava il nome del file da un database o un array.

[fbamt]

GRAZIE!! Ulteriore domanda il tipo di file che includo ad esempio fosse un htm, può generare ulteriori problemi di sicurezza??

ciao
Fabio