[PHP5] Wishlist für REQUEST_URI

[bUTschy]

hi

Ich hab da eine Wunschliste mit Zeichen die ich in meiner $_SERVER['REQUEST_URI'] zulassen möchte.

$uri = $_SERVER['REQUEST_URI'];
if (!preg_match('/^[\w|öäüß|\-|\.|?|=|\/|&|#]+$/i', $uri)){
// die() nur zum testen
die('oops, unerwuenschtes zeichen');
} 

Das ganze funktioniert bisher auch wie gewünscht.

Meine frage dazu, wie Sinnvoll bzw. Sinnfrei ist die Idee hinsichtlich Sicherheit und Co ?

gruß bUTschy

[penizillin]

warum sollte es zur sicherheit beitragen, irgendwelche zeichen irgendeiner servervariable zu filtern?

[bUTschy]

hi penizillin

Daher ja meine frage

[penizillin]

wenn du keine antwort auf meine hast - was ist der sinn deines skriptes dann? einfach ein paar funktionen zum lauffähigen programm bringen?

du kannst nicht die sicherheit erhöhen, wenn du nicht weißt, wodurch sie gefährdet wird.

[bUTschy]

Ich möchte vermeiden, das "jemand" die URL manipuliert mit welchem Ziel auch immer (stichwort: remote file inclusion) fremdcode einschleusen.

Sorry, ich ging davon aus, das mein Ziel offentsichlich ist.

Ich bin auf den Holzweg, richtig ?

[penizillin]

Ich möchte vermeiden, das "jemand" die URL manipuliert ...

ich darf in meine adressleiste eingeben, was ich will, oder?

und warum sollte ein "ö" oder ein gleichheitszeichen ein indiz dafür sein, dass ich bei dir code einschleusen will?

[tontechniker]

Außerdem hilft es nichts wenn du irgendwelche Servervariablen bearbeitest. Probleme die du beschreibst kommen über $_GET / $_POST und werden dann evtl. von dir includiert, dass heißt du musst an einer ganz anderen Stelle dagegen vorgehen.

[bUTschy]

hi
Mit $_GET und $_POST ist mir schon klar.

Ich hatte schon den verdacht, das ich hier auf dem Holzweg bin und wohl Wishlist für $_GET meine

[penizillin]

www.das-dass.de

[bUTschy]

Meinetwegen
so Emotionslos wirkt das auf mich irgendwie Kluggeschissen