我有一个使用PHP编写的网站,其中使用include()将内容嵌入模板。要加载的页面在get参数中给出,我在参数的末尾添加".php"并包含该页面。我需要进行一些安全检查,以避免XSS或其他问题(不是MySQL注入,因为我们没有数据库)。我想到的方法如下。
$page = $_GET['page'];
if(!strpos(strtolower($page), 'http') || !strpos($page, '/') ||
!strpos($page, '\\') || !strpos($page, '..')) {
//append ".php" to $page and include the page
还有其他什么我可以做来进一步清理我的输入吗?