如何安全地使用php cURL獲取遠程頁面

Question

我將有一個應用程序，我將提示用戶輸入一個URL（使用適當的正則表達式URL驗證），並使用cURL返回頁面並對其執行一些檢查。

以cURL安全地返回遠程網頁的最安全方式是什麼？據我所知即使cURL也有一些漏洞，例如'安全模式'安全繞道（http://www.securityfocus.com/bid/27413）。

Answer 1

SecurityFocus聲稱這已在PHP 5.2.6中修復。如果你不能升級到那個，你需要手動檢查那個攻擊媒介。也許您在您的用戶輸入，如果該URL絕對有在它前面的「http」，與if (substr($url, 0, 7) == 'http://'))

此外，根據意見對this php bug report捲曲給你選項來禁用特定protocls，包括訪問本地文件，但只當您從源代碼進行配置和編譯時。根據cURL install manual它必須是這樣的（未經測試）：

./configure --disable-file