এই জিনিসটি আমার কোডিংকে কঠিন করে তোলে। ওয়ার্ডপ্রেস কোডেক্স সুরক্ষার বিষয়ে অস্পষ্টভাবে কথা বলে এস্ক_আরল ব্যবহারের কারণ বলে। তবে আসলেই কি ঝামেলার মূল্য আছে?
উদাহরণস্বরূপ, কী গুরুত্বপূর্ণ, তা ব্যবহার করে ব্যবহারিক সুরক্ষা সুবিধা
<?php echo esc_url( home_url( '/' ) ); ?>পরিবর্তে
<?php echo home_url() ?>পিএস: আমি থিম বিকাশের কথা বলছি না, তবে একটি নির্দিষ্ট সাইট সম্পর্কে বলছি।
উত্তর:
আপনি যদি ডেটা ভ্যালিডেশনে ডকুমেন্টেশন চেক করেন তবে এতে ফাংশনটি সম্পর্কে বলা আছে:
ইউআরএলগুলি স্যানিটাইজ করার সময় সর্বদা এসকে_আরল ব্যবহার করুন (পাঠ্য নোডে, বৈশিষ্ট্য নোডে বা অন্য কোথাও)। এমন ইউআরএলগুলি প্রত্যাখ্যান করে যা সরবরাহিত শ্বেত তালিকাভুক্ত প্রোটোকলগুলির একটি নয় [...], অবৈধ অক্ষরগুলি মুছে ফেলে এবং বিপজ্জনক চরিত্রগুলি সরিয়ে দেয়।
সেখানে আপনার এটি রয়েছে - ব্যবহারিক সুরক্ষা সুবিধা। বৈধ প্রোটোকল, কোনও নোংরা অক্ষর নেই।
প্রয়োজনীয়তা সম্পর্কে উত্তর দৃ firm ়ভাবে হ্যাঁ । এস্কেপিং আউটপুট হ'ল সর্বাধিক প্রাথমিক সুরক্ষা অনুশীলন।
home_url()home_url
ঠিক আছে, সমস্ত ব্যবহারকারীর ইনপুটটি স্যানিটাইজ করা উচিত ... আপনি যে urlটি ইনজেক্ট করেন তা যদি ব্যবহারকারী ইনপুট না হয় (যেমন আপনার সম্পূর্ণরূপে বিশ্বাস করা এমন ব্যক্তির দ্বারা সাইট সেটিং, হার্ডকোডযুক্ত মান) তবে আপনি এসকে-ইউআরএল থেকে নিজেকে মুক্তি দিতে পারেন।
তবে আমি যদি আপনার সাইটে সেই url ইনজেক্ট করতে পারি তবে আমি খুব সহজেই কিছু পরিস্থিতিতে জেএস কোড, বা পুনর্নির্দেশ কোড ... বা এমনকি সার্ভার সাইড কোডও ইনজেক্ট করতে পারি।
এটি সেশন হাইজ্যাকিং এবং আপনার ব্যবহারকারীদের অ্যাকাউন্টগুলি চুরি হয়ে যাওয়ার এবং অন্যান্য খারাপ বিকল্পগুলির দিকে পরিচালিত করতে পারে।
আপনার উদাহরণে esc_url( home_url( '/' ) );
এটি একটি অর্ধ-হার্ডকোডযুক্ত মানকে চালিত করে! সুতরাং esc_urlনির্মূল করা যেতে পারে।
এটি বলেছিল যে আমি এখনও দেখছি না যে যখন কোনও হুমকি রয়েছে এবং যখন নেই এবং সাধারণত প্রতিটি মানের জন্য এসএস_আরএল () রাখার পরামর্শ দিই কেন তার মধ্যে পার্থক্যকে কেন বিরক্ত করবেন।
আরেকটি জিনিস আপনার মাথা রাখা আবশ্যক সম্পর্কে
esc_url()ভালো কিছু হয় <a href="SANITIZE_THIS_URL">your_text</a>আপনি একটি লিঙ্কের জন্য href বৈশিষ্ট্যটির, অথবা একটি চিত্র উপাদান জন্য src অ্যাট্রিবিউট মত, আপনার HTML আউটপুটে URL ব্যবহার করতে যাচ্ছেন .যদি, আপনি ব্যবহার করা উচিত esc_url()।
esc_url_raw()এটি অন্য ক্ষেত্রে যেখানে আপনি একটি পরিষ্কার ইউআরএল চান, তবে আপনি চান না যে HTML সত্ত্বাগুলি এনকোড হওয়া উচিত। সুতরাং কোনও নন-এইচটিএমএল ব্যবহার (ডিবি, পুনর্নির্দেশ) এটি ব্যবহার করবে।
esc_url_raw()ফাংশন প্রায় কাছাকাছি যেমন একই কাজ করতে হবে esc_url(), কিন্তু এটা ডিকোড সত্ত্বা না করবে না, যার অর্থ এটি প্রতিস্থাপন & & ইত্যাদি # 038 সঙ্গে করা হবে না। মার্ক যেমন ইঙ্গিত করেছেন, এটি esc_url_raw()ডাটাবেস অনুসন্ধান, পুনঃনির্দেশ এবং HTTP ফাংশনগুলিতে ব্যবহার করা নিরাপদ , যেমন _ wp_remote_get () ' এস্ক_আর_আরউ (