如何用htaccess重寫搜索[]到其他東西

Question

我用get方法創建了一個搜索表單。但當url看起來像這樣search.php？search []或搜索？搜索[]（mod_rewrite）然後我得到一個sql fattal錯誤。它傳遞一個數組，我想避免這個問題。

我的問題是我怎麼重定向一個人從該網址到search.php中

Answer 1

這聽起來像你直接傳遞?search[]查詢字符串變量到SQL。 mod_rewrite不會爲你解決這個問題...如果我決定用http://www.yoursite.com/search.php?search=;DROP TABLE users;來打電話給你的頁面怎麼辦？你只是無法使用mod_rewrite來預測用戶可以想到的所有不好的輸入。

您的代碼需要進行輸入驗證和消毒。 您必須假設您的腳本從用戶處收到的所有內容都是惡意且危險的。包括$_GET,$_POST和$_COOKIE中的所有數據。

這裏的正確解決方案是檢查$_GET['search']是傳遞給SQL的有效值。例如：

if (is_string($_GET['search']) && ! empty($_GET['search']) { 
    //escape the input properly using your database-specific method, e.g.: 
    $searchParam = mysql_real_escape_string($_GET['search']); 
    //run your query with the escaped data 
} 

至少，這將確保您傳入的搜索變量不是空字符串。