https://www.opennet.ru/openforum/vsluhforumID3/4114.html - Главное правило - всегда явно проверять все переменные полученные из внешних источников <br> (cgi-параметры, cookie, переменные окружения, имя файла и путь (при листинге директории по readdir));<br><br>- Вырезать спецсимволы в переменных используемых в сис. функциях (open(), system(), ``) и обращениях к sql.<br> вырезание: s/[^\w\d_\-.]//g или tr/;&lt;&gt;*&#124;?`&$!#{}[]:'\/\n\r\0// для open(), system(), ``.<br> не забывать про \0 (передают , который воспринимается как конец стоки)<br> Пример: $var="../../etc/passwd&#124;\0"; open(F, "/home/test/$var.txt")<br><br>- при открытии файла на чтение в open() всегда указывать "&lt;$file";<br><br>- Осторожность при использовании переменной внутри eval() и regex (/\Q$var\E/ иначе можно подставить ?{код}).<br><br>- Нельзя проверять числовые параметры через "if ($var &gt; 0)", так как может пройти $var="123;somecode";<br><br><br>URL: <br>Обсуждается: http://www.opennet.ru/tips/info/621.shtml<br> https://www.opennet.ru/openforum/vsluhforumID3/4114.html#2 Wed, 21 Sep 2005 08:34:51 GMT после того как получили или в момент получения<br>1) $var=int($var);<br>2) $var=~s/\D//g; /лучше все же 1 вариант/ https://www.opennet.ru/openforum/vsluhforumID3/4114.html#1 Wed, 11 Aug 2004 20:37:23 GMT "Нельзя проверять числовые параметры через "if ($var &gt; 0)""<br>А как их тогда проверять?