Puedes usar cualquiera de las dos, pero debes saber que si usas $_SERVER['PHP_SELF']
sin ninguna precaución puedes tener con suma facilidad un ataque XSS.
De hecho, no debes usar ninguna variable de $_SERVER
, ninguna superglobal para mostrarla por pantalla sin escaparla adecuadamente.
Veamos un ejemplo sencillo de ataque XSS si usas $_SERVER['PHP_SELF']
inocentemente.
Supongamos este formulario:
<form name="test" action="<?php echo $_SERVER['PHP_SELF']; ?>" method="post">
Un usuario normal lo usará como se debe, escribiendo en el navegador por ejemplo:
http://www.dominio.com/mi-form.php
Ahí ningún problema. Pero no todo es color de rosa y existen unos individuos que se llaman hackers y no se conforman con pinchar en un link para ver un formulario bonito. Ellos vas a manipular la URL, poniendo por ejemplo:
http://www.dominio.com/mi-form.php/%22%3E%3Cscript%3Ealert('xss')%3C
/script%3E%3Cfoo%22
Cuando el hacker escriba eso en la URL, se producirá el siguiente código en el servidor:
<form name="test" method="post" action="mi-form.php"/>
<script>alert('xss')</script><foo"">
Bueno... no es tan grave, tan sólo te inyectaron un simple alert que mostrará xss
en un cuadro de diálogo que se ve hasta bonito... El problema es que el hacker pasará luego a inyectarte algo mucho más serio. Cuando la puerta está abierta, cualquier cosa puede entrar, ese es el problema.
¿Entonces PHP_SELF
is evil?
No, evil es quien lo ha usado irresponsablemente. Todas las superglobales que van a mostrarse en pantalla deben ser escapadas.
Este uso es seguro:
<form name="test" action="<?php echo htmlentities($_SERVER['PHP_SELF']); ?>" method="post">
Cuando pepito el hacker intente su patraña, se producirá esto:
<form name="test" method="post"
action="form-action.php/"><script>alert('xss')&
lt;/script><foo">
Conclusiones
PHP_SELF
es seguro si se usa bien. Pero me pregunto si vale la pena usarlo, total ¿qué diferencia hay entre eso y escribir el nombre del archivo? El uso de PHP_SELF
parecería ser una cuestión de comodidad, para escribir código genérico. ¿Quizá tenga sentido en una app con miles o millones de formularios? Diría que ni siquiera en ese caso, pues existen miles de estrategias para tratar el action
de los formularios, aunque sean miles.
Además, pensando en herramientas como Ajax, podemos decir que, en una aplicación que se respete, esas páginas que se recargan para enviar los datos al servidor, son ya parte de la prehistoria y tienen por fuerza que ir desapareciendo. Hoy día puedes programar todos tus formularios sin action
o, con el action indicado de una manera segura, y usar Ajax para enviar los datos al servidor. En ese caso, el archivo que se ejecutará al enviar el formulario será otro, no el archivo actual que contiene el formulario. No sólo se reducen riesgos, sino que es un código super práctico, elegante y que ahorra ingentes recursos.
Si no tienes otra salida que seguir escribiendo código prehistórico, una mejor alternativa sería usar $_SERVER['SCRIPT_NAME']
.
Enlaces
PHP_SELF
puede ser muy peligroso si lo usas incorrectamente. Te dejo la traducción de una de las notas del Manual con mayor aceptación: $ _SERVER ['PHP_SELF'] es peligroso si se usa incorrectamente. Si se solicita login.php/nearly_arbitrary_string, $ _SERVER ['PHP_SELF'] contendrá no solo login.php, sino todo el login.php/nearly_arbitrary_string. Si ha impreso $ _SERVER ['PHP_SELF'] como el valor del atributo de acción de su etiqueta de formulario sin realizar la codificación HTML, un atacante puede realizar ataques XSS ofreciendo a los usuarios un enlace a su sitio....