Tüüüüü-Pisch!

[Jörg Reinholz]

Moin!

Statt einer aufwändigen Blacklist-Funktion kann man auch ein ganz einfaches Whitelist-Array mit den erlaubten Inkludierdateinamen verwenden.

Kann man nicht nur, sollte man auch. Alles andere ist zu fehleranfällig.

Deswegen ist ja auch eine "negative blacklist" also eine "whitelist" drin (Verboten ist alles, was nicht /[^A-Za-z0-9_.]/ erlaubt ist) :

nach allerhand recht speziellen und gewillkürten Verboten kommt:

$forbiddenChars='/[^A-Za-z0-9_.\/*+:,-]/';
if ( preg_match($forbiddenChars, $fileName) ) {
  # Brutal:
  return error_403();
}

"malen nach Zahlen" habe ich auch vorgesehen und als "sehr sicher und einfach" angepriesen

Jörg Reinholz