wordpressでPOSTを検証

Question

wordpressで配列を送信されるとき、下記のesc_arrを通せば完璧と思っているのですが、抜け穴というか、この検証に対して問題を見つけることはできますか？

もし問題があるならどういうふうにクリアし安全な検証を実装しますか？

add_action('wp_ajax_test_ajax_1', 'test_ajax_1');
function test_ajax_1(){

  // $argsを検証
  $args = isset($_POST['args']) ? esc_arr( $_POST['args'] ) : [];

  // $argsを使い、データベースから値を取得し$resultsに入れる
  $results = [];
  echo json_encode($results);
  die();
}

function esc_arr( $arr ) {
  return filter_var( $arr, FILTER_CALLBACK, ["options" => function( $v ) { return esc_html( $v ); }] );
}

Comments

[m.ts10806]

＞wordpressで配列を送信される
どういう場面か具体的に提示されたほうが良いかと思います。

[m.ts10806]

あと、調べたり試したりしたこと・・その結果で想定される「問題」があるなら自身が考えたことを提示したほうが良いかと

Answer 1

esc_htmlはXSS対策にはなるけどSQLインジェクション対策にはならんと思います
WPでSQLに使う値ならesc_htmlではなくesc_sqlでしょう
（SQL文生成を$wpdb->prepareでやってればesc_sqlも特に必要ないですが・・・）

// $argsを使い、データベースから値を取得し$resultsに入れる

この部分をどうやってるかのほうが問題です

Comments

[kurazushi]

ご回答ありがとうございます。なるほど細やかなお気遣い痛み入ります。XSS対策が十分とわかってよかったです。SQLインジェクションの方はprepareを使っているのですが、esc sqlというのは知りませんでした。

[kurazushi]

というか、（質問しておいてアレですが）POST値に対してesc_htmlをやる意味はあるでしょうか。必要だと思って実装しましたが、よくよく考えればDBにはesc_htmlを通さずに保存し、出力時にだけesc_htmlをかければいいような気がしてきました。

[KazuhiroHatano]

そうですね、そもそも出力に使うんじゃないならesc_htmlでXSS対策しても意味ないです

[kurazushi]

ご指導ありがとうございます。勘違いしていたので無駄な処理を実装せずに済みそうです。

[kurazushi]

ふと思ったのですが、SQLインジェクションとおなじように、PHPインジェクションのようなものはないのでしょうか。たとえばPOST値にPHPコードが送られたときそれをesc_htmlしなくていいのかという疑問です。

[KazuhiroHatano]

ユーザー入力をevalに使うなど危険極まりない行為です

https://www.php.net/manual/ja/function.eval.php

[KazuhiroHatano]

少なくともevalの中ではユーザー入力は完全に文字列として閉じ込められるべきでしょう
まずaddslashesが最低限といったところで
尚且つその文字列がどう使われるかといったところにも注意を払うべきです

https://www.php.net/manual/ja/function.addslashes.php

[kurazushi]

ありがとうございます。addslashesさえやるつもりがありませんでした。リンク先によく目を通し本番で失敗のないよう気を付けます。

[KazuhiroHatano]

ユーザー入力がPHPの式として評価される箇所に使われること
任意の関数を実行できてしまうことはまず絶対にあってはいけません

特にbase64_decodeの実行を許容してしまうともうなんでもありです
addslashesももはやなんの意味もありません

https://www.php.net/manual/ja/function.base64-decode.php

[kurazushi]

まるで知らない形式でした。助かりました…
これからそれぞれ実装していくにあたって知りたいことがあれば投稿させて頂くかもしれませんが、その際お目に留まりましたらまたよろしくお願い致します。