6

He visto que en multitud de ocasiones se usa $_SERVER['PHP_SELF']; en el action de un formulario.

<form name="form1" method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>" >

El tema es que se puede usar perfectamente action="signup" y esto enviará el formulario a esa misma página sin ningún problema (si es que estamos en ejemplo.com/signup).

<form  method="post" action="signup.php" >

Mi pregunta es porqué se hace casi siempre de la primera forma y cual se debería usar.

5
  • es mejor usar PHP_SELF porque contiene la ruta completa del fichero actual, incluyendo el nombre del archivo. Commented el 20 feb. 2019 a las 22:58
  • te sugiero revisar esto: php.net/manual/es/reserved.variables.server.php Commented el 20 feb. 2019 a las 22:58
  • De acuerdo. ¿Y que me decís de la inyección de JS? ¿Es posible usar lor parámetros de la url para inyectar código JavaScript? Commented el 20 feb. 2019 a las 23:14
  • PHP_SELF puede ser muy peligroso si lo usas incorrectamente. Te dejo la traducción de una de las notas del Manual con mayor aceptación: $ _SERVER ['PHP_SELF'] es peligroso si se usa incorrectamente. Si se solicita login.php/nearly_arbitrary_string, $ _SERVER ['PHP_SELF'] contendrá no solo login.php, sino todo el login.php/nearly_arbitrary_string. Si ha impreso $ _SERVER ['PHP_SELF'] como el valor del atributo de acción de su etiqueta de formulario sin realizar la codificación HTML, un atacante puede realizar ataques XSS ofreciendo a los usuarios un enlace a su sitio....
    – A. Cedano
    Commented el 20 feb. 2019 a las 23:36
  • Este riesgo viene adevertido también en varias respuestas de SO en inglés, ver esta pregunta por ejemplo o ver este artículo que trata sobre riesgos XSS cuando se usa PHP_SELF. El enlace a la nota de Manual de PHP dice más cosas, lo puedes ver completo aquí, no lo puse en el comentario anterior por falta de espacio.
    – A. Cedano
    Commented el 20 feb. 2019 a las 23:39

1 respuesta 1

7

Puedes usar cualquiera de las dos, pero debes saber que si usas $_SERVER['PHP_SELF'] sin ninguna precaución puedes tener con suma facilidad un ataque XSS.

De hecho, no debes usar ninguna variable de $_SERVER, ninguna superglobal para mostrarla por pantalla sin escaparla adecuadamente.

Veamos un ejemplo sencillo de ataque XSS si usas $_SERVER['PHP_SELF'] inocentemente.

Supongamos este formulario:

<form name="test" action="<?php echo $_SERVER['PHP_SELF']; ?>" method="post">

Un usuario normal lo usará como se debe, escribiendo en el navegador por ejemplo:

http://www.dominio.com/mi-form.php

Ahí ningún problema. Pero no todo es color de rosa y existen unos individuos que se llaman hackers y no se conforman con pinchar en un link para ver un formulario bonito. Ellos vas a manipular la URL, poniendo por ejemplo:

http://www.dominio.com/mi-form.php/%22%3E%3Cscript%3Ealert('xss')%3C
/script%3E%3Cfoo%22

Cuando el hacker escriba eso en la URL, se producirá el siguiente código en el servidor:

<form name="test" method="post" action="mi-form.php"/>
<script>alert('xss')</script><foo"">

Bueno... no es tan grave, tan sólo te inyectaron un simple alert que mostrará xss en un cuadro de diálogo que se ve hasta bonito... El problema es que el hacker pasará luego a inyectarte algo mucho más serio. Cuando la puerta está abierta, cualquier cosa puede entrar, ese es el problema.


¿Entonces PHP_SELF is evil?

No, evil es quien lo ha usado irresponsablemente. Todas las superglobales que van a mostrarse en pantalla deben ser escapadas.

Este uso es seguro:

<form name="test" action="<?php echo htmlentities($_SERVER['PHP_SELF']); ?>" method="post">

Cuando pepito el hacker intente su patraña, se producirá esto:

<form name="test" method="post" 
action="form-action.php/&quot;&gt;&lt;script&gt;alert('xss')&
lt;/script&gt;&lt;foo">

Conclusiones

  • PHP_SELF es seguro si se usa bien. Pero me pregunto si vale la pena usarlo, total ¿qué diferencia hay entre eso y escribir el nombre del archivo? El uso de PHP_SELF parecería ser una cuestión de comodidad, para escribir código genérico. ¿Quizá tenga sentido en una app con miles o millones de formularios? Diría que ni siquiera en ese caso, pues existen miles de estrategias para tratar el action de los formularios, aunque sean miles.

  • Además, pensando en herramientas como Ajax, podemos decir que, en una aplicación que se respete, esas páginas que se recargan para enviar los datos al servidor, son ya parte de la prehistoria y tienen por fuerza que ir desapareciendo. Hoy día puedes programar todos tus formularios sin action o, con el action indicado de una manera segura, y usar Ajax para enviar los datos al servidor. En ese caso, el archivo que se ejecutará al enviar el formulario será otro, no el archivo actual que contiene el formulario. No sólo se reducen riesgos, sino que es un código super práctico, elegante y que ahorra ingentes recursos.

  • Si no tienes otra salida que seguir escribiendo código prehistórico, una mejor alternativa sería usar $_SERVER['SCRIPT_NAME'].


Enlaces

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.