Функция cot_import() в Cotonti CMF

Функция cot_import() в Cotonti CMF

Функция cot_import() предназначена для безопасного получения входных данных из глобальных массивов $_GET, $_POST, $_COOKIE и $_SERVER. Она выполняет валидацию и фильтрацию входных данных, предотвращая потенциальные атаки, такие как SQL-инъекции и XSS.

Важность cot_import() в Cotonti CMF

Функция cot_import() играет ключевую роль в Cotonti, так как обеспечивает безопасное получение входных данных. Она защищает сайт от XSS-атак, SQL-инъекций, подмены данных и ошибок приведения типов.

При использовании глобальных массивов ($_GET, $_POST, $_COOKIE, $_REQUEST) вручную можно случайно пропустить проверку или неправильно обработать данные, что приведет к уязвимостям. cot_import() автоматизирует процесс фильтрации, помогая разработчикам писать безопасный код.

Преимущества cot_import()

Недостатки cot_import()

Однако эти недостатки не критичны и легко обходятся дополнительной обработкой.

 Рекомендации по использованию cot_import() в плагинах и модулях

1. Используйте cot_import() вместо $_GET, $_POST, $_COOKIE

 Плохо:

$id = $_GET['id'];

Хорошо:

$id = cot_import('id', 'G', 'INT');

Это предотвратит SQL-инъекции (id=1 OR 1=1).

2. Всегда указывайте значение по умолчанию

 Плохо:

$page = cot_import('page', 'G', 'INT');

Хорошо:

$page = cot_import('page', 'G', 'INT', 1);

Это предотвращает ошибки Undefined index.

3. Используйте ARR при работе с массивами

Плохо:

$items = $_POST['items']; // Возможна ошибка, если items не массив

Хорошо:

$items = cot_import('items', 'P', 'ARR');

Если items не массив, вернется null, а не ошибка.

4. Не используйте NOC, если данные идут в SQL

Плохо:

$user_input = cot_import('comment', 'P', 'NOC');
$sql = "INSERT INTO comments (text) VALUES ('$user_input')";

Хорошо:

$user_input = cot_import('comment', 'P', 'TXT'); 
$sql = "INSERT INTO comments (text) VALUES ('" . $db->prep($user_input) . "')";

 TXT уберет XSS, а $db->prep() – SQL-инъекции.

5. Используйте PSW для паролей

$password = cot_import('password', 'P', 'PSW');

В отличие от TXT, PSW не убирает спецсимволы, что позволяет использовать !@#$%^&*() в пароле.

6. Получение IP-адреса пользователя безопасным способом

$ip = cot_import('REMOTE_ADDR', 'S', 'TXT');

Лучше, чем $_SERVER['REMOTE_ADDR'], так как предотвращает возможные манипуляции.

Функция находится в файле:
 system/common.php

 Синтаксис:

cot_import($name, $source = 'G', $filter = 'TXT', $default = null)

 Параметры:

Доступные источники данных ($source)

Доступные фильтры ($filter)

Примеры использования:

Получение целого числа из $_GET

$id = cot_import('id', 'G', 'INT');

Если id отсутствует в $_GET, будет null. Если передано ?id=123abc, то вернется 123.

Получение строки из $_POST без HTML

$username = cot_import('username', 'P', 'TXT');

Если передано <script>alert('XSS');</script>, то тег <script> будет удален.

Получение массива из $_POST

$items = cot_import('items', 'P', 'ARR');

Подходит для работы с name="items[]" в HTML-формах.

Получение булевого значения из $_POST

$is_admin = cot_import('admin', 'P', 'BOL');

Вернет true, если admin=1 или admin=true, иначе false.

Получение данных из $_SERVER

$ip = cot_import('REMOTE_ADDR', 'S', 'TXT');

Получает IP-адрес пользователя.

Пример использования с default

$page = cot_import('page', 'G', 'INT', 1);

Если параметр page отсутствует в $_GET, то переменная получит значение 1.

Заключение

Функция cot_import() – мощный инструмент в Cotonti, который не только упрощает получение данных, но и делает их безопасными за счет встроенной фильтрации. Используйте её вместо $_GET, $_POST и других глобальных массивов для предотвращения атак.

Функция cot_import() – обязательный инструмент в Cotonti. Она обеспечивает безопасность, удобство, гибкость и должна использоваться во всех плагинах и модулях.

Рекомендуется ВСЕГДА использовать её вместо $_GET, $_POST, $_REQUEST, особенно при работе с БД и пользовательскими данными.