1

Como puedo utilizar filter_input INPUT_POST con un foreach

Este código me funciona bien pero lo que requiero es utilizar filter_input

foreach($_POST as $nombre_campo => $valor){ #Recibir todas las varibles POST
   $asignacion = "\$" . $nombre_campo . "='" . $valor . "';";
   eval($asignacion);
}

yo lo intente así remplazando la primera linea pero no me funciono:

foreach(filter_input(INPUT_POST) as $nombre_campo => $valor){

1 respuesta 1

1

Un comentario no sería suficiente para hablar de los problemas involucrados en crear variables "al vuelo":

La verdad, cuando vi ese eval() se me puso la piel de gallina, porque los riesgos son muy grandes; un usuario malicioso con un poco de experiencia puede causar serios problemas en tu sitio.

Imagina que el usuario en el campo nombre teclea juan'; unlink('./config.php'); //, al crear tu cadena, quedaría: "$nombre='juan'; unlink('./config.php'); //';". eval() va a interpretar la cadena y ejecutar 3 instrucciones:

$nombre = 'juan';
unlink('./config.php');
//';

La primera, simplemente crea una variable. La segunda tratará de borrar un archivo y, la tercera, es solo un comentario que evitará errores de sintaxis por la comilla al final de la cadena.

Este es un ejemplo muy sencillo, pero hay infinitas posibilidades de generar más problemas que soluciones y, de hecho, me parece que lo que quieres hacer es similar a una de las características más polémicas que se hayan implementado en PHP: register_globals, que automáticamente generaba variables para cada elemento incluido en $_POST y $_GET, entre otros (¿?).

Importante: La inseguridad derivada de register_globals no fue culpa de PHP, sino de los programadores que no realizaron las validaciones adecuadas.

Tal vez podrías usar filter, especificando un filtro para todos los campos y después extract(), pero debes tener mucho cuidado con lo que haces.

// Recorrer todos los elementos de $_POST
foreach($_POST as $campo => $valor) {
    // "Sanear" el valor, pero todos van a tener el mismo filtro
    $_POST[$campo] = filter_input(INPUT_POST, $campo, FILTER_SANITIZE_STRING);
}
// Generar variables por cada elemento en $_POST
extract($_POST);

Si tienes un formulario con 3 campos: nombre, correo y telefono, se van a crear las variables correspondientes: $nombre, $correo y $telefono.

Otra opción para lograrlo es usando "variables variables", anteponiendo $ a una variable:

foreach($_POST as $campo => $valor) {
    // "Sanear" valor y crear variable
    $$campo = filter_input(INPUT_POST, $campo, FILTER_SANITIZE_STRING);
}

Las opciones con extract() y "variables variables" funcionan prácticamente igual, facilitando la creación de variables, pero complican la validación y, de hecho, un buen editor de código te marcará errores de variables indefinidas, complicando innecesariamente el mantenimiento de tus programas.

Resumen: En lugar de buscar opciones para "no escribir código" deberías enfocarte en validar correctamente todos los datos recibidos, verificando tipo, longitud, formato, etc.

1
  • Muchas gracias por tus comentarios mira que si me enfoco en mejorar la seguridad de mi código, no tenia idea de esos problemas yo usaba esas funciones para mejora incluso las seguridad por ello quise implementar filter_input en mi código pero lo voy a tomar mucho en cuenta. el 20 mar. 2021 a las 14:54

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.