$_GET İstekleri için Güvenlik Önerileri

Merhaba arkadaşlar,

$_GET istekleri için nasıl güvenlik önlemleri alıyoruz bu konu hakkında fikirlerinizi almak istedim.

Şahsen eğer id alıcaksam;

$Deger = (int)$_GET["id"];

$Deger = mysql_real_escape_string($Deger);

en son da intval($Deger);

şeklinde kontrol ediyorum.

Sizce neler olmalı veya nasıl kontrollerden geçirmeliyiz, standartlar nelerdir ?

Kod olarak değil ama öneride bulunayım.

Yapılabilirse şifre talep edilebilir. Eğer şifre sizin sayfanızla eşleşirse get işlemi o zaman çalışsın mesela yapılamaz mı?

filter_var

if(isset($_GET['id'])){
$kullaniciid = htmlspecialchars(strip_tags($_GET['id']));
$kullaniciid = str_replace("'","",$kullaniciid);
$kullaniciid = str_replace("<","",$kullaniciid);
$kullaniciid = str_replace(">","",$kullaniciid);
$kullaniciid = str_replace(",","",$kullaniciid); }

normal metin için

trim(strip_tags(htmlspecialchars($degisken)))

bu yeterli olacaktır.

Bunun yanında aldıgınız $_GET degişkenindeki veriyi veritabanında kullanmıyorsanız sadece eşleştirme yapacaksanız filtreye bile gerek yoktur
örnegin

if(isset($_GET["ali"]) && $_GET["ali"] == 'odemesayfasi')

Güzel fikirler geliyor peki bunlar aşılamaz mı arkadaşlar en garanti çözümler sizce nelerdir?

Hiçbir sistem güvenli degildir

Kesinlikle

Ancak en iyi algoritma ile birçok açık kapatılabilir, standart veya standart dışı en garanti yolları bulmak beyin fırtınasıyla oluşur

Eğer id veritabanı işleminde kullanılacaksa özel olarak filitreleme yapmanıza gerek yok sadece pdo kullanmanız yeterli sizin için pdo halledecektir. Örnek bir kod;

$query=$db->prepare("SELECT * FROM users WHERE id=?"); 
// Önce sql kodumu hazırladım. 
// Dışarıdan gelecek veriyi soru işareti olarak bıraktım
$query->execute(array(
    $_GET["id"]
));
// şimdi soru işareti yerine $_GET["id"] ile kullanıcıdan aldığımız veriyi koymasını söyledik.
// Eğer birden fazla veri varsa birden fazla soru işareti kullanmak mümkün
// Ya da soru işareti yerine bazı tanımlayıcılarda kullanılabilir.
// Örneğin;
$query=$db->prepare("SELECT * FROM users WHERE id=:id"); // şimdi :id diyerek nasıl kullanacağımızı belirttik.
$query->execute(array(
    "id"=>$_GET["id"]
));