Usereingaben absichern

[INC.]

Hallo erstmal

Also ich nutze eine Menge html Formulare und möchte diese gerne gegen Angriffe schützen. Dazu prüfe ich jeden Inhalt mit Regex, und zwar so passgenau und "aggressiv" wie nur möglich, eigentlich sowas wie whitelisting.

Wie sicher ist diese Methode? Das einzige, was ich im folgenden aufgerufenen Script dann mache ist

if (ereg($regexmuster, $HTTP_POST_VARS["inhalt"]) == false)
{
        echo "ungueltige Eingabe";
    } else {
       //mach dies und das, z.B. include fortfahren.php
} 

Ist diese Maßnahme ausreichend? sollte man lieber gleich mit die() anrücken? Das wollte ich eigentlich vermeiden, denn ein HTML-Layout, welches auf PHP-Includes basiert (z.B. 3 Spalten Layout) wird ja dann einfach ab dem Content abgeschnitten falls die Eingabe und somit regex nicht stimmt, deshalb if..else statt die.
mfg

[frankburian]

ist ok so.

warum die() verwenden. solange wie eine eingabe fehlerhaft ist, führst du eben nicht den Sinn des Formulars (wie Mail verschicken) aus, sondern gibts Fehlermeldungen zurück. ganz einfach!

[tontechniker]

OffTopic:

---

bitte preg_match statt ereg verwenden

---

[INC.]

Ok danke. Das mit ereg und preg_match liegt an der Geschwindigkeit?

Habe bisher ereg nur benutzt, da in der Doku steht es wäre POSIX erweitert und man könnte damit non-greedy matches erreichen, was ich hin und wieder brauche.

Wusste nicht, dass dies mit preg_match auch geht.

mfg

[Koala]

und wieso benutzt Du $HTTP_POST_VARS und nicht $_POST ?

[INC.]

Eigentlich benutze ich $_POST, war ein altes Script als Beispiel welches ich da gepostet habe. Allerdings habe ich mir über die Unterschiede nie Gedanken gemacht, dachte $_POST wäre nur der Kurzalias.

[Griecherus]

Nein, $_POST ist (auto)global, $HTTP_POST_VARS hingegen ist nicht global. Seit PHP 4.1.0. PHP wird empfohlen, die Superglobalen zu benutzen.

[ghostgambler]

Original geschrieben von INC.
Habe bisher ereg nur benutzt, da in der Doku steht es wäre POSIX erweitert und man könnte damit non-greedy matches erreichen, was ich hin und wieder brauche.

Für Greedy/Ungreedy gibt es bei preg Pattern-Modifiers und auch direkt Regex-Expressions, siehe Manual