1

Preciso passar um valor para uma página que está em um include_once, porém não sei como solucionar:

O código que estou usando para includes fica no diretório principal:

<?php
            if (isset($_GET["p"])){
                if (file_exists($_GET["p"])){
                    include_once($_GET["p"]);
                } else {
                    include_once("main.php");
                }
            } else {
                include_once("main.php");
            }
?>

E a página que quero chamar via $_GET fica dentro do diretório /includes/users/.

O código abaixo, não redireciona para página edit.php apenas recarrega a main.php.

echo "<td><a class='uk-button' href='index.php?p=includes/users/edit.php?id=$id'><i class='uk-icon-cog'></i> Edit</a>
                        <a class='uk-button uk-button-danger' href='#'><i class='uk-icon-trash'></i> Delete</a></td>";

O que não consigo fazer é que a página edit.php seja carregada dentro do include quando está com parâmetro ex: index.php?p=includes/users/edit.php?id=25. Sem parâmetro a página edit.php carrega normalmente.

Imagino que devo adicionar alguma coisa no código do include, mas não encontrei a solução ainda.

3
  • Se é o que entendi, você pode usar a função header() para redirecionar para a página.
    – Franchesco
    Commented 12/12/2014 às 17:26
  • Quem votou como como impossível de reproduzir ou erro de digitação ao menos tentou entender a pergunta? Commented 12/12/2014 às 19:08
  • @BrunoAugusto eu não votei e sinceramente não percebi nada, nem da pergunta nem da resposta...
    – Jorge B.
    Commented 24/10/2016 às 9:21

2 Respostas 2

2

Seu código permite falhas graves de segurança por permitir ao usuario exibir livremente qualquer arquivo do servidor.

Recomendo a tentar algo do tipo:

<?php
$page = 'main.php';

if (isset($_GET["p"])){
  switch($_GET["p"]){
    case '1':
      $page = 'conteudo.php';
      break;
    case '2':
      $page = 'edit.php';
      break;
  }
}

require_once($page);
?>

A solução ainda está ruim, mas já da um nivel de segurança maior para a aplicação.

Explicando o problema

Imagine que você tenha um arquivo de configuração com os dados para acesso ao banco de dados, este arquivo se chama exemplo.config;

O que aconteceria se o usuário passasse para o seu código o parametro desta forma: ?p=exemplo.config ??

Seu código iria incluir o arquivo de configuração e iria mostrar no navegador do usuario o conteudo do arquivo.

4
  • Obrigado @Kaminary, vou utilizar um switch pois acho mais organizado que os if.
    – user19956
    Commented 12/12/2014 às 17:49
  • Reiterando a questão de segurança: o método file_exists() impediu que páginas externas sejam acessadas. Neste caso, imagino que o include estaria seguro?
    – user19956
    Commented 12/12/2014 às 17:53
  • @FelipeRodrigues páginas externas sim, porem no meu exemplo eu utilizo um arquivo de configuração que está no próprio servidor. Neste caso conhecendo o caminho do arquivo eu tenho livre acesso ao mesmo com o seu código;
    – jlHertel
    Commented 12/12/2014 às 18:03
  • Ah! Certo, entendi.
    – user19956
    Commented 12/12/2014 às 18:12
2

O problema é que querystrings são pares chave=valor e os valores de cada chave são todos os caracteres compreendidos entre o sinal de igualdade e o conector de múltiplos argumentos (&), se houver mais de um, ou o final da string.

Se você depurar $_GET['p'] dentro do isset() vai ver que o que está chegando não é edit.php e sim edit.php?id=1

Basta trocar a segunda interrogação pelo conectivo de múltiplos pares (&) que vai funcionar.

Mas ainda mantenho uma ressalva de isso que tentou fazer nesse código é extremamente perigoso pois poderia permitir que isso acontecesse:

arquvo.php?var=http://www.outrosite.com/script_malicioso.php

E seu programa executaria sem questionar.

O menos pior a se fazer quando se trabalha com querystrings é conhecer previamente os possíveis valores para essa variável que será considerada como arquivo a ser incluído e usar um path conhecido por você.

Existem várias formas, mas a mais simples de todas é com N condicionais:

if( $_GET['var'] == 'contato' ) {

    $arquivo = 'contato.php';

} else if( $_GET['var'] == 'empresa' ) {

    $arquivo = 'empresa.php';

} else {

    $arquivo = 'main.php';
}

include_once $arquivo;

Você pode usar switches que deixarão o código relativamente maior, mas um pouco mais robusto ou arrays que deixará tudo bem pequeno à um custo de perfomrance (infímo, mas presente).

7
  • Então, estou ciente desse risco já. O que não consigo fazer é que a página edit.php seja carregada dentro do include quando está com parâmetro ex: index.php?p=includes/users/edit.php?id=25 A página não abre.
    – user19956
    Commented 12/12/2014 às 17:28
  • +1 por exemplificar o risco de segurança
    – jlHertel
    Commented 12/12/2014 às 17:30
  • @FelipeRodrigues você não irá conseguir passar um parametro $_GET através de include. Mas você pode observar que o mesmo já existe no $_GET pois o mesmo é interpretado globalmente. Experimente utilizar o comando echo '<pre>';var_dump($_GET);
    – jlHertel
    Commented 12/12/2014 às 17:31
  • 1
    Houve um pequeno erro de compreensão meu quando respondi, agora está corrigido. Commented 12/12/2014 às 17:40
  • 1
    @BrunoAugusto Reiterando a questão de segurança: o método file_exists() impediu que páginas externas sejam acessadas. Neste caso, imagino, que o include estaria seguro?
    – user19956
    Commented 12/12/2014 às 17:54