正確過濾掉LFI

Question

我怎樣才能正確地篩選出本地文件包含在PHP？ 我一直在尋找，但找不到一個簡單的功能來做到這一點。據我瞭解，刪除斜槓是不夠的。

Answer 1

永遠不要在用戶輸入中使用include()（或其親屬，如require()或readfile()）。永遠。

Answer 2

避免這個問題的最簡單方法是不是從用戶輸入編寫代碼，include()的 - 通常沒有必要做這個。而不是讓您的網址爲foo.php?page=bar只需使用bar.php作爲URL。

如果你絕對必須的，你可以去在幾個方面篩選。白名單很容易：

$ok = array('foo.php', 'bar.php', 'baz.php'); 
$include = in_array($_GET['page'], $ok) ? $_GET['page'] : 'default.php'; 
include($include); 

這隻允許預先設置的包含文件列表。

或者，你可以用正則表達式過濾器（但是這是更容易出錯）：

if (preg_match('!^[a-z]+\.php$!', $_GET['page'])){ 
    include($_GET['page']); 
}else{ 
    include('default.php'); 
}