为什么建议清理 Wordpress Customizer 选择框、复选框和单选按钮？

Question

尊敬的 Wordpress 开发人员

我一直无法找到这个问题的明确答案，这个问题的灵感来自 this post by jared about sanitization 和 this article by Theme Foundation 关于 Theme Customizer。特别是，这是后者的引述：

如果输入是 1（表示选中的框），则函数 返回一个。如果输入是其他任何东西，则函数 返回一个空白字符串。这可以防止任何有害的东西 保存到数据库中。

我猜，关于防止将有害内容保存到数据库的最后一行是我们都同意的。但我不明白的是，您如何从复选框中获取有害的任何东西——除非你犯了编程错误——因为只有两个可能的值？

因此，如果在这种情况下进行清理以防止出现以下情况：由于编程错误导致“数据损坏”，我不知道这是好事还是坏事。

我认为只有当您的输入是文本或文本字段时，清理数据才有意义 - 至少当您的目标是防止有害内容时。我知道您有时需要格式化数据以使其有用，但这是一个不同的主题。

Answer 1

最后一行是关于防止有害的东西被保存到 数据库是我们都同意的东西

问题是“有害”在很大程度上与上下文有关。数据库中的 JavaScript 本身没有害处——只有在另一个用户会话中输出到 HTML 时才会“有害”。其结果是这种类型的漏洞（XSS）可以通过输出编码更好地处理。也就是说，当内容输出到页面时，它应该是 HTML 编码的。这将使脚本标记输出为<script;>，它实际上只是将文字<script> 输出到显示的页面。

但我不明白你如何从一个 复选框 - 除非你犯了编程错误 - 因为只有 两个可能的值？

如果攻击者操纵 POST 数据，则不会。例如，如果您的复选框被定义为

<input type="checkbox" name="agreeToTCs" />

这将在检查时将agreeToTCs=on 发送到您的应用程序。

攻击者可以操纵 POST 请求并将其更改为 agreeToTCs=evil。这相当于指定

<input type="checkbox" name="agreeToTCs" value="evil" />

在 HTML 和被选中的框中。

为什么建议清理 Wordpress Customizer 选择框， 复选框和单选按钮？

所有这一切归结为您的应用程序应该只处理有效数据。举个简单的例子，想象一个系统，它允许您在创建新用户时为新用户选择用户级别。系统设计的一部分只允许您指定一个等于或低于您自己的用户。这是为了防止低级别用户创建管理员帐户然后获得完全权限。假设您以中级用户身份登录，下拉菜单的 HTML 可能呈现如下：

<select name="userLevel">
  <option value="low">low</option>
  <option value="medium">medium</option>
</select>

当它被发布到服务器时，例如userLevel=medium 已发送。但是，攻击者可能能够将 POST 数据操纵到userlevel=admin 并为自己创建一个管理员用户。在回发时再次“清理”复选框可确保您的应用程序只接受有效值。