Является ли Google параноиком?

Question

На этой странице о hashbangs я видел следующее:

// get the _escaped_fragment_ parameter
$escapedfragment = $_GET['_escaped_fragment_'];
// NOTE: VALIDATE PARAMETERS (as always, to avoid security risks)
$params = getParams($unescapedfragment);

Какой смысл делать это?Это все на стороне сервера, и это не риск внедрения SQL или PHP.

Зачем беспокоиться о проверке?Что возможно $_GET['_escaped_fragment_'] может быть проблемой

Answer 1

В этом случае исполняемый PHP используется для генерации динамического контента для индексирования поисковыми системами. Он должен будет генерировать тот же контент, который будут видеть ваши пользователи при взаимодействии с сайтом - и для этого может потребоваться извлечь файлы из файловой системы, выполнить запросы к базе данных, подключиться к удаленным системам и т. Д.

Совет, безусловно, удачный. Это второй механизм для запуска содержимого сценария на вашем сервере, и если вы слепо выполняете одни и те же вещи, не выполняя здесь проверку ввода, возможно, сканер непреднамеренно выбьет проблему безопасности - или предоставит злоумышленникам второй путь к вашим данным.