Laravel по-русски

Goshik

Сообщений: 18

Очистка входящих данных

Существует ли в Laravel механизм очистки входящих данных Request::Input()?
Валидация, понятно, есть. Но как быть с sql-инъекциями, html-тегами и т.д., вручную очищать?

constb +141

Мастер

Сообщений: 624

Re: Очистка входящих данных

sql-инъекций в ларе не бывает, она prepared statements использует при формировании запроса. html-тэги тоже не проблема, всё что выводится через {{ ... }} искейпится. осторожным надо быть только при наличии {!! ... !!} в шаблонах — восклицательные знаки на это как бы намекают.

Proger_XP +345

Топ 30%

Мастер

Сообщений: 1,312

Статей: 33

Re: Очистка входящих данных

На саммо деле не совсем — сущности не экранируются, т.к. Blade использует e(), а он использует htmlspecialchars() с $double_encode = false. То есть e('<') === '<', а не <, то может иногда породить проблемы.

Очищать не надо, надо просто не создавать дыр. Всё зависит от контекста — где-то SQL-инъекция это просто часть текста (статьи, например).

Можете ещё посмотреть в сторону WAF, хотя ИМХО это костыль.

Goshik

Сообщений: 18

Re: Очистка входящих данных

С инъекциями понятно, а насчет записи в базу, напр. такого: <strong>username</strong> ?
как-то не очень хорошо...
Такие теги на ура принимаются через Request

Изменено Goshik (05.03.2015 21:17:14)

Wide +3

Сообщений: 107

Re: Очистка входящих данных

Естественно принимаются. Вопрос в том, что будешь с ними делать. Можешь валидатором вернуть ошибку, можешь удалить, можешь проверить права доступа у конкретного юзера и оставить теги либо опять же удалить.