Estava dando uma olhada em alguns projetos na internet que envolvem segurança e me deparei com o seguinte código.
Todas as requisições ao site eram redirecionadas ao index.php
pelo mod_rewrite
, a conexão com o banco de dados era feita com PDO, utilizando prepared statements, tudo estava no padrão, porém fui dar uma olhada no index e me deparo com esse código
/** O projeto permite somente slugs com 250 caracteres **/
if (isset($_GET['params']) && (strlen($_GET['params']) > 250))
{
header('HTTP/1.0 403 Forbidden');
die('<b>O endereço atual excede os limites de segurança</b>');
}
Achei bem estranho e resolvi baixar pra conferir.
Utilizei o sqlmap pra fazer alguns testes e o mesmo não obteve resultado. Tirei essa linha que postei acima e fiz os testes novamente, basicamente não mudou em nada, exceto nos logs do Apache que pude ver que as strings do sqlmap estavam "passando", ao invés de serem "barradas" pelo script e gerando erros 403.
Para assegurar o aplicativo e poupar recursos do servidor, o código acima é uma medida preventiva ou desnecessária?