$_GET absichern - Problem

[lnqlorlouz]

Hallo,

und zwar möchte ich meine "Ranking-Liste" mittels $_GET ordnen.
/ranking.php?order=kills&sort=desc
Einmal kann man bei $_GET['order'] entscheiden und einmal bei $_GET['sort'].

Bei $_GET['sort'] ist es mir wichtig, dass man nur asc oder desc eintragen kann. Sonst wäre eine Injection ja möglich...
Habe das vorhin mal mit preg_match probiert, aber ich scheitert irgendwo...Und bei if auch...

PHP Code:

   {
     $allowed = array('exp', 'kills', 'deaths', 'asc', 'desc');
    if( in_array($_GET['order'],$allowed))
   {
      $order = $_GET['order'];
   }
   else
   {
     echo("Something went wrong.");
   }
  } 


Weiß mir einer, wie ich nur bestimme Dinge zulasse die in dem Array stehen? Und falls es anders ist oder gar nichts eingetragen ist soll dort eine Fehlermeldung kommen.
Beispiel:
$sql = "Select * from wraccounts where headshots = $hs order by $order $sort limit $limit,20";

[Mostey]

Du solltest dafür lieber einen POST nutzen, wenn du Bedenken hast das da jemand Unfug treiben könnte. Soweit ich informiert bin, werden POST Parameter bei einer SSL Verbindung ebenfalls verschlüsselt.

Ansonsten sollte das mit in_array gehen, hast du mal geprüft ob order überhaupt einen Wert hat?

[NotEnoughForYou]

Die einfachste Möglichkeit wäre über real escape strings die Eingaben zu maskieren oder gleich über PDO prepared statements benutzen.

Dein Beispiel funktioniert bei mir

PHP Code:

<?php
$allowed = array("test", "sth", "kill");

if(in_array($_GET['order'], $allowed)) {
    echo'erlaubt';
}
else {
    echo'Fehler';
}

?>

[pr0Cellarum]

Der Code funktioniert. Jedoch solltest du a) escapen und b) den Code nochmal überdenken. Momentan würde auch der Parameter 'sort' mit einem String 'kills' validiert werden.

PHP Code:

    // je nach skills direkt prepared statements anschauen
    $order = mysql_real_escape_string($_GET['order']);
    $sort  = mysql_real_escape_string($_GET['sort']);
    
    $orderWhitelist = array('asc', 'desc');
    $sortWhitelist  = array('exp', 'kills', 'deaths');

    if(empty($order) or !in_array($_GET['order'], $orderWhitelist)) {
        // set default or print error
    }

    if(empty($sort) or !in_array($_GET['sort'], $sortWhitelist)) {
        // set default or print error
    }
    
    // process 


[lnqlorlouz]

Originally Posted by NotEnoughForYou

Die einfachste Möglichkeit wäre über real escape strings die Eingaben zu maskieren oder gleich über PDO prepared statements benutzen.

Dein Beispiel funktioniert bei mir

PHP Code:

<?php
$allowed = array("test", "sth", "kill");

if(in_array($_GET['order'], $allowed)) {
    echo'erlaubt';
}
else {
    echo'Fehler';
}

?>

Ja habs grad bemerkt...