2

Como a maioria deve saber, no PHP 5.2 foi implementada a função filter_input.

Estou trabalhando tranquilo com ela, sem nenhuma dúvida muito alarmante.

O problema é que: eu consigo trabalhar bem com ela, utilizando no 1º parâmetro as flags INPUT_GET ou INPUT_POST quando preciso validar utilizando o FILTER_SANITIZE_ENCODED.

Porém, na aplicação que estou trabalhando também preciso validar o INPUT_REQUEST (que não está implementado), e aí vem o erro.

Erro PHP filter_input 'INPUT_REQUEST'

Detalhe que a versão do PHP que estou utilizando é a 5.5.6.

Gostaria de saber se alguém conhece ou tem algum método que faça o filtro do $_REQUEST assim como o filter_input deveria fazer.

1
  • Posta a parte do código que está dando erro.
    – rray
    Commented 5/03/2014 às 22:19

3 Respostas 3

3

A variável $_REQUEST é uma supervariável que contém as variávels $_GET, $_POST e $_COOKIE, na ordem definida pela diretiva request_order do PHP.

Sendo assim, não vejo a necessidade de usar a constante INPUT_REQUEST se você souber de qual das outras supervariáveis o valor que você quer filtrar está vindo.

3
  • A questão é que às vezes, em parte do código, eu faço uma chamada via ajax pra uma página query.php?key1=val1&key2=val2 e ainda passo parâmetros POST, ou seja, ela recebe GET e POST, logo, seria mais rápido tratar o request.
    – mend3
    Commented 5/03/2014 às 23:46
  • 1
    Não sei onde li que usar a variável $_REQUEST constitui uma falha de segurança, pois a variável pode vir de três maneiras diferentes. Além disso, se você usa $_GET, $_POST ou $_COOKIE, você está sendo explícito no seu código de onde a variável está vindo. Pessoalmente, não vejo problema em optar por um desses em vez do $_REQUEST :) Commented 5/03/2014 às 23:56
  • 2
    Também tava sabendo dessa falha de segurança pelo REQUEST mas resolvi tentar assim mesmo, e desisti. Fiz uma função bem simples pra tratar isso: switch ($_SERVER['REQUEST_METHOD']) { case 'GET': return filter_input(INPUT_GET, $val, FILTER_SANITIZE_ENCODED); default: case 'POST': return filter_input(INPUT_POST, $val, FILTER_SANITIZE_ENCODED); }
    – mend3
    Commented 5/03/2014 às 23:58
1

Esse é um tópico bastante antigo, mas já que este foi trazido à tona novamente deixarei duas possíveis soluções para o problema.

Como você bem descobriu, a funcionalidade de INPUT_REQUEST não foi implementada, então diferentemente do sugerido pelo Marcio, você não pode utilizar filter_input_array() pois terá o mesmo erro.

A primeira solução apoia-se na função filter_var_array(). Sua aplicabilidade é mais apropriada quando:

  • Todas as entradas puderem receber o mesmo tipo de tratamento
  • Você não souber o que pode vir por $_REQUEST

Para usar função filter_var_array() você deve criar um array associativo tendo como chaves os índices presentes em $_REQUEST (ou em outro array que precise) e como valores os filtros a serem aplicados.

Mas, como precisamos do memso dinamismo proporcionado por pela flag que usaríamos em filter_input() e filter_input_array(), não podemos criar esse array manualmente, então usaremos array_combine(), array_keys() e array_fill() que, juntos, permitirão a criação de um novo array em runtime, de comprimento variável e com a mesma estrutura de $_REQUEST:

$args = array_combine(

    array_keys( $_REQUEST ),

    array_fill( 0, count( $_REQUEST ), FILTER_SANITIZE_ENCODED )
);

array_combine() espera dois arrays como argumento. Um para servir de chaves e outro de valores.

Usamos array_keys() para obter todas as chaves de $_REQUEST e, como não sabemos quantos elementos existem em $_REQUEST para podermos montar a contra-parte necessária, usamos array_fill() que cria um novo array com uma quantidade pré-definida de elementos, aqui obtidos contando a quantidade de entradas em $_REQUEST. Todas as entradas terão o mesmo valor, no caso, a flag FILTER_SANITIZE_ENCODED.

E passaremos esse array para filter_var_array():

$filtered = filter_var_array( $_REQUEST, $args );

Isso num arquivo acessado com uma URL propositalmente nociva como http://localhost:8080/test.php?foo=<script>alert('hi');</script>, resulta um var_dump() com:

array (size=1)
  'foo' => string '%3Cscript%3Ealert%28%27hi%27%29%3B%3C%2Fscript%3E' (length=49)

A segunda alternativa é iterar o array desejado ($_REQUEST) e aplicar filter_var() em cada entrada gerando um novo array limpo.

Ela é mais apropriada quando:

  • Algumas entradas não puderem ser validadas por uma flag em particular -OU- requerer uma flag específica que não justificaria aplicar aos outros valores

  • O array a ser filtrado/validado/sanitizado é pequeno, porque iterar arrays grandes é ruim para performance

     $cleansed = array();
    
     foreach( $_REQUEST as $offset => $entry ) {
         $cleansed[ $offset ] = filter_var( $entry, FILTER_SANITIZE_ENCODED );
     }
    

A saída desse array será a mesma acima.

Quanto à primeira consideração de aplicabilidade feita sobre essa segunda técnica, você não necessariamente precisa levar ela em consideração para optar por essa técnica.

Você pode muito bem usar o primeiro método e, logo em após criar o array a ser usado ($args), sobrescrever um ou mais índices previamente conhecidos manualmente antes de informar esse array como argumento para filter_var_array():

$args = array_combine(

    array_keys( $_REQUEST ),

    array_fill( 0, count( $_REQUEST ), FILTER_SANITIZE_ENCODED )
);

$args['algum_campo_de_URL'] = FILTER_SANITIZE_URL;

// Ou

$args['algum_campo_sem_tratamento'] = NULL;

Nota: Não remova o índice com unset() caso contrário a entrada correspondente. ao invés de ser mantida intocada, será removida do array resultante.


Agora que o problema foi solucionado em gostaria de deixar uma palavrinha sobre o porquê de usar $_REQUEST poder ser prejudicial.

Os chamados HTTP Verbs foram criados em sua vasta especificidade para servir cada um para um propósito único. E apesar de atualmente nenhum browser respeitar todos os verbos quando definidos no atributo method de um formulário, não significa que você deva programar de forma errada também.

Sendo assim, se é POST, usemos $_POST. Se é GET, usemos $_GET. Precisamos de algum cookie? $_COOKIES.

Agora veja um cenário hipotético onde usar $_REQUEST ao invés de um dos três superglobais corretos é prejudicial:

Imagina uma situação na qual você coincidentemente tem uma variável de nome X que DEVE transitar exclusivamente via GET e outra, também chamada X, exclusivamente por POST.

Usando $_GET e $_POST, você pode perfeitamente utilizar os nomes idênticos. Mesmo que não pareça muito certo, às vezes, por harmonia léxica (sou tarado por isso com programo :P), é justificável.

Mas se você codificar seu script inteiramente com $_REQUEST, um sobrescreverá o outro e pela sutileza do procedimento, o debug seria complicado.

Veja um exemplo (bem porco) ilustrando isso:

var_dump( $_REQUEST, $_POST, $_GET );

echo '<form method="post">';
echo '<input type="hidden" name="nome" value="Bruno" />';
echo '<input type="submit" value="Vai" />';

echo '</form>';

Ao acessar a página pela primeira vez haverão três arrays vazios, afinal não existe informação ainda.

Colocando um parâmetro GET nome na URL (Bruno Augusto, para ilustrar), você verá Bruno Augusto saindo de $_REQUEST e outro, no terceiro, de $_GET. O segundo, referente à $_POST, continuará vazio.

Submeta o formulário. Será mostrado Bruno duas vezes e Bruno Augusto uma.

Isso porque o $_REQUEST mescla tudo e, graças à ordem das variáveis, o Bruno do campo oculto vindo de $_POST sobrescreverá o Bruno Augusto vindo de $_GET, porque nos arrays superglobais, possuem o mesmo índice.

Você também é afetado por esse problema bastante sutil ao usar JavaScript pois dados GET e POST são basicamente cabeçalhos e também estão sujeitos a sobrescrita.

Ainda não está convencido quanto ao seu caso por transitar dados por AJAX? Tá bom:

test.html

$(function(){

    $.ajax({

        method: 'post', 
        url: 'http://localhost/test.php?var1=value1',
        data: { var1: 'some content', var2: 'doh' }

    }).done( function( data ) {

        console.log( data );

    }).fail( function( xhr, status ) {

        console.log( status );
    });

});

test.php

O console response após a Requisição de sucesso:

"{"var1":"value1"}

{"var1":"some content","var2":"doh"}

{"var1":"some content","var2":"doh"}"

var1 em $_REQUEST por padrão preenchida com var1 de $_GET foi sobrescrita pelo var1 vindo de $_POST.

0

Você pode tentar utilizar filter_input_array(). Por exemplo:

$vars = array(
    'key1' => FILTER_SANITIZE_NUMBER_INT
);

$entradas = filter_input_array(INPUT_REQUEST, $vars);

echo $entradas['key1'];

Outra opção é utilizar filter_var(), o uso é simples:

echo filter_var($_REQUEST['key1'], FILTER_SANITIZE_NUMBER_INT);

Mas lembre-se que os filtros estão longe de garantir que sua aplicação está segura, você deve procurar parametrizar suas querys via PDO e escapar caracteres especiais de acordo com o seu banco de dados.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .