Форум PHP

Стоит ли обрабатывать переменные $_SERVER?
Например,

$_SERVER['HTTP_REFERER'] = htmlspecialchars ($_SERVER['HTTP_REFERER']); $_SERVER['HTTP_REFERER'] = stripslashes ($_SERVER['HTTP_REFERER']);

Смотря для какой цели, но вообще говоря стоит, в HTTP_REFERER может оказаться все что угодно в том числе и код, созданный с расчетом взломать ваш сайт.

$_SERVER['HTTP_REFERER'] для header location.

Просто проверяйте его регулярным выражением на корректность URL и обязательно убедитесь что он с вашего домена. Если конечно не требуется перенаправлять на другой сайт.

Ну если в header() можно особенно не проверять - пользователь сам себя взломает. Хотя некоторые недалекие средства проверки будут голосить по этому поводу. Однако, угрозы это не представляет... особенно, если в cookie ничего ценного не храните.

А можно в $_SERVER поместить код, который будет взламывать сайт и сделать так, чтобы этот код выполнялся первым, т.е. до проверок на сервере?

Это паранноя :)

>А можно в $_SERVER поместить код, который будет взламывать сайт и сделать так, чтобы этот
>код выполнялся первым, т.е. до проверок на сервере?
Можно, если создать и разместить на сервере, код, позволяющий такое осуществить :) Но даже в этом случае придется немного поработать.

Спасибо! Я рад, что это всего лишь паранойя