Come scrivere in modo sicuro i dati JSON su file utilizzando PHP

Question

Ho un modulo HTML per la modifica delle immagini. Tutti i dati sono archiviati in JSON. Quando cambio l'immagine corrente, voglio salvare le modifiche, tramite lo script PHP, in un file di testo. Se torno all'immagine precedente, questa configurazione verrà inviata nuovamente da questo file al modulo.

La mia domanda è:

Come scrivere/leggere questo tipo di dati in modo sicuro. Dove e quanto efficacemente controllare i dati per evitare alcune iniezioni di codice JS/PHP?

Ho allegato un certo codice concetto di seguito:

JavaScript (utilizzando jQuery):

// Writing 
$.ajax({ 
    global: false, 
    type: "POST", 
    cache: false, 
    dataType: "json", 
    data: ({ 
     action: 'write', 
     config: JavaScriptJSON_Obj 
    }), 
    url: 'read-write.php' 
}); 

// Reading 
$.ajax({ 
    global: false, 
    type: "POST", 
    cache: false, 
    dataType: "json", 
    data: ({ 
     action: 'read' 
    }), 
    url: 'read-write.php', 
    success: function(data){ 
     JavaScriptJSON_Obj = data; 
    } 
}); 

PHP esempio (lettura write.php):

switch ($_REQUEST['action']) { 
    case 'write': 
     file_put_contents('config.txt', $_REQUEST['config']); 
     break; 
    case 'read': 
     $s = file_get_contents('config.txt'); 
     echo json_encode($s); 
     break; 
} 

Answer 1

Prima di tutto : JSON non è JavaScript e viceversa. E JSON non è nemmeno un sottoinsieme appropriato di JavaScript.

Oltre a ciò, poiché non si interpretano alcuni input dell'utente come PHP né alcun output come JavaScript, non è necessario preoccuparsi. Ma non dimenticare di specificare correttamente l'output:

header('Content-Type: application/json;charset=utf-8'); 
$s = file_get_contents('config.txt'); 
echo json_encode($s); 

Answer 2

Vorrei sempre controllare i dati restituiti per vedere se è in un formato che mi aspetto. Diciamo che stai salvando un'immagine ... Controllala usando i controlli MIME, ecc. Per assicurarti che sia un'immagine. Se si salvano solo i dati così come sono sul server, è possibile aprire la porta per alcuni potenziali problemi di sicurezza.

Se si intende che si limitano a salvare i dati relativi a quali immagini sono state visualizzate, ciò potrebbe comunque rappresentare un problema in base a come e dove tali dati sono accessibili e utilizzati. Quindi se tu eccetto un numero intero e niente di più, assicurati che i dati che ricevi e salvino siano interi e niente di più.

Answer 3

Il problema con il codice è che non funzionerà, a parte i problemi di sicurezza. È necessario serializzare i dati o codificarli su json PRIMA di memorizzarli in un file, ad es. in questo modo:

switch ($_REQUEST['action']) { 
    case 'write': 
     file_put_contents('config.txt', json_encode($_REQUEST['config'])); 
     break; 
    case 'read': 
     readfile('config.txt'); 
     break; 
} 

serializzazione funziona così:

switch ($_REQUEST['action']) { 
    case 'write': 
     file_put_contents('config.txt', serialize($_REQUEST['config'])); 
     break; 
    case 'read': 
     $data = unserialize(file_get_contents('config.txt')); 
     echo json_encode($data); 
     break; 
} 

Finché è assicurarsi che il percorso di leggere/scrivere è corretto, non ci sono problemi di iniezione di codice con questo codice. L'unico problema potenziale è se puoi scegliere quale file usare (piuttosto che hardcode "config.txt" nel codice). Quindi devi convalidare per assicurarti che il file sia in una determinata directory, ecc.