1. Introducción
Los datos introducidos en un formulario no son seguros. De hecho, los usuarios pueden escribir letras cuando solicita una edad o introducir un código SQL que puede destruir su nombre. Esta última acción se denomina inyección SQL. Para evitar que un usuario pueda hacer inoperativo su sitio Web, es necesario proteger los datos introducidos. Se puede comprobar en JavaScript (lado cliente) que los datos introducidos se corresponden con lo que quiere, pero no es el propósito ni es suficiente. También debe codificar las comprobaciones en PHP (lado servidor) antes de guardar los datos en la base de datos.
2. Datos obligatorios
Esta prueba consiste en comprobar si el usuario ha reasignado una zona del formulario.
Las zonas de tipo texto, textarea, hidden y password se comprueban de la siguiente manera:
<?php
//Suponiendo que el formulario contenga el campo nombre
if ($_POST[’nombre’]!= ’’) {
echo "Su nombre es".$_POST[’nombre’];
}
else
{
echo "El nombre no se ha introducido.";
}
?>
En las áreas de tipo radio-button, checkbox y lista, la comprobación es:
<?php
//Suponiendo que el formulario contenga una lista llamada pais
if (isset($_POST[’pais’]) == true) {
echo "Los países son:";
print_r ($_POST[’pais’]);
}
else
{
echo "El país no se ha seleccionado.";
}
?>
3. Eliminación de espacios no deseados
Algunas veces los usuarios añaden espacios al final de su apellido y luego lo recuperan con el espacio con $_POST y guardan este valor en la base de datos. Esto puede causar algunos problemas si intenta comparar los apellidos. De hecho, "GÓMEZ" es distinto de " GÓMEZ ".
Para evitar esto, añada la función trim(), que elimina los espacios y a continuación el valor.
<?php
//Suponiendo que el formulario contenga el campo apellido
if (trim($_POST[’apellido’])!= ’’) {
echo "Su apellido es:".trim($_POST[’apellido’]);
}
?>
4. Longitud máxima
Esta vez el problema es la longitud de la cadena de caracteres que recupera con POST. Por ejemplo, el apellido no debe contener más de 20 caracteres, ya que la base de datos no lo acepta. Puede realizar una comprobación inicial introduciendo el atributo maxlength=20 en la etiqueta <input type= "text" />, pero no es suficiente. También debe realizar el control del servidor en PHP:
<?php
//Suponiendo que el formulario contenga un campo apellido
$apellido = trim($_POST[’apellido’]);
if (strlen($apellido) <= 20) {
echo "Su apellido es:".$apellido;
}
else
{
echo "El apellido contiene más de 20 caracteres.";
}
?>
5. Caracteres permitidos
Una vez que haya comprobado que sus datos no están vacíos y que la longitud es correcta, debe revisar que no contengan caracteres no permitidos. Por ejemplo, la edad no debe contener letras y el correo electrónico debe incluir un punto (.) y @. Para realizar esto correctamente, utilice las expresiones regulares que hemos visto con anterioridad.
Por ejemplo, para comprobar que la contraseña contiene letras y cifras entre 4 y 8 caracteres:
<?php
//Suponiendo que el formulario contenga un área password
$password = $_POST[’password’];
if (!preg_match(’`ˆ[[:alnum:]]{4,8}$`’,$password)) {
echo "La contraseña no es válida.";
}
else
{
echo "La contraseña es válida.";
}
?>
Por ejemplo, para comprobar si un número de teléfono es válido:
<?php
//Suponiendo que el formulario contenga una zona teléfono
$telefono = $_POST[telefono];
if (preg_match("#ˆ0[1-9]([-. ]?[0-9]{2}){4}$#", $telefono))
{
echo El número es válido.’;
}
else
{
echo "El número no es válido.";
}
?>
Por ejemplo, para comprobar si una fecha es válida:
<?php
//Suponiendo que el formulario contenga un área fecha
$fecha = $_POST[’fecha’];
/* Divide la fecha en tres partes y asigna los dias a $dd,
los meses a $mm y el año a $yyyy */
list($dd, $mm, $yyyy) = explode("/",$fecha);
/* Validación de la fecha con la función checkdate*/
if(! checkdate($mm, $dd, $yyyy))
{
echo "Fecha no válida";
}
else {
echo "Fecha válida";
}
?>
6. Magic quotes
Los datos que recupera por $_GET o $_POST se pueden utilizar para insertarlos en una base de datos. Para ello, utilice el lenguaje SQL y así podrá crear una consulta SQL como la siguiente:
$sql = "INSERT INTO client (apellido, nombre, comentario) VALUES
(’GÓMEZ’,’ROBERTO’,’correcto’)";
Puede surgir un problema si el usuario introduce una cadena de caracteres que contiene un apóstrofo, por ejemplo: L’Hospitalet.
La variable $sql se convierte en:
$sql = "INSERT INTO client (apellido, nombre, poblacion) VALUES
(’GÓMEZ’,’ROBERTO’,’L’Hospitalet’)";
Se produce un error porque hay un apóstrofo después de la letra L.
Magic quotes es una funcionalidad PHP que se puede argumentar en el archivo php.ini, y permite proteger automáticamente los datos que han transmitido GET, POST o COOKIE.
Esta función evita los caracteres especiales, es decir, añade el carácter \ (barra invertida) delante de ’ (apóstrofos), " (comillas), \ (barras invertidas) y NULL.
Sin embargo, esta funcionalidad está obsoleta desde la versión 5.3.0 de PHP y ya no existe desde la versión 5.4. Se recomienda que usted mismo asigne los caracteres especiales. Para desactivar magic quotes, introduzca el valor magic_quotes_gpc = Off en el archivo php.ini.
La función addslashes() desempeña la misma tarea, ya que evita los caracteres especiales.
Para evitar que un usuario guarde scripts maliciosos, utilice la función htmlspecialchars(), que convierte los caracteres especiales como < o > en < o >.
Esta función toma como argumento la cadena de caracteres que hay que codificar, y como argumentos opcionales la opción, el juego de caracteres y la doble codificación.
La opción puede contener tres valores:
- ENT-NOQUOTES: ninguna conversión.
- ENT-COMPAT: conversión de las comillas, pero no el apóstrofo.
- ENT-QUOTES: conversión del apóstrofo, pero no las comillas.
El juego de caracteres es UTF-8, en lugar de ISO-8859-1 desde la versión PHP5.5 por defecto.
La doble codificación permite codificar una cadena que ya está codificada si el valor es true.
La función htmlspecialchars_decode() permite la conversión inversa.
En el siguiente ejemplo, el código que recibe los datos está protegido correctamente:
<?php
//Suponiendo que el formulario contenga un área password
$password = htmlspecialchars (addslashes(trim($_POST[’password’])));
echo "Puede poner la variable $password en su consulta SQL.";
$sql = "INSERT INTO client (apellido, password) VALUES
(’GÓMEZ’,’".$password."’)";
?>
También puede utilizar la función htmlentities(), que equivale a la función htmlspecialchars(), salvo que transforme todos los caracteres especiales HTML.
7. Redirección de página
A veces es muy útil llamar una página PHP sin hacer clic en un botón. Para ello puede redireccionar una página PHP con la función header().
Para redireccionar una página PHP o HTML, debe utilizar el atributo location de la función header().
Por ejemplo:
<?php
header("Location:http://www.google.es"); // Redirecciona a
// http://www.google.es
?>
O bien:
<?php
header("Location:redireccion.php"); // Redirecciona la página
// redireccion.php
?>
O al pasar los argumentos:
<?php
header("Location:redireccion.php?apellido=Gómez&nombre=Juan");
// Redirecciona la página redireccion.php que pasa apellido y nombre
// como argumento
?>
Para llamar las páginas PHP en URL absoluta, debe utilizar las variables globales $_SERVER[’HTTP_HOST’] que dan el nombre del servidor y $_SERVER[’PHP_SELF’] que dan la ruta y el nombre de la página PHP actual:
<?php
$url_absoluta = "http://".$_SERVER[’HTTP_HOST’].rtrim(dirname($_SERVER
[’PHP_SELF’]),’/\\’).’ /redireccion.php’;
header("Location:".$url_absoluta); // Redirecciona la página
// redireccion.php
?>
La función header() envía las consultas http a la página HTML y las acciones se explican en el siguiente sitio Web: http://php.net/manual/es/function.header.php
Su página PHP no debe contener código HTML y por tanto ningún echo antes de utilizar la función header, ya que provoca un error.
Espero haber ayudado en algo. Hasta la próxima oportunidad!
Twittear
No hay comentarios:
Publicar un comentario