[PHP] Pagina includen zonder ext

[Verwijderd]

Ik gebruik deze code om pagina's te includen:

<?php

$pagina = $_GET["id"];

if($id == "") {
include("inleiding.html");
}

else {
if(file_exists("$id")) {
include("$id");
}

else {
include("fout.html");
}

}

?>

Ik moet om de pagina aan te roepen /?id=pagina.html invullen.
Hoe kan ik er voor zorgen dat ik alleen "pagina" hoef in te vullen en geen .html er achter?

[chris]

Dit is heel onveilig. Lees daarover in de faq. Wat je kan doen is ipv include("$id") include("$id" . ".html") doen. Maar dit is echt heel onveilig.

[Priet]

PHP:

$pagina = $_GET["id"];

if($id == "") {
include("inleiding.html");
}

else {
if(file_exists("$id" . ".html")) {
include("$id".".html");
}

else {
include("fout.html");
}

}

Even een ".html" erachter plakken

[Kaasplank]

wel ff een array maken met toegestane te includen paginas en checken of de ingevulde pagina in de array staat

[Verwijderd]

Ik wil even benadrukken dat simpelweg een extrensie erachter plakken *niet* veilig is!

Aangezien het \0 character de string terminator is, kan je dus alnog een eigen extensie erachter plakken met het \0 character erachter...

[chris]

Verwijderd schreef op zaterdag 20 november 2004 @ 18:43:
Ik wil even benadrukken dat simpelweg een extrensie erachter plakken *niet* veilig is!

Aangezien het \0 character de string terminator is, kan je dus alnog een eigen extensie erachter plakken met het \0 character erachter...

Ehm, wat TS doet is überhaupt niet veilig. Zomaar dingen includen. Een paar tutorials lezen zou geen kwaad kunnen.

[curry684]

PHP = Programming & Webscripting

[Verwijderd]

*kuch*

ik zie alleen maar dat je $_GET['id'] omzet naar $pagina; maar dat je weer $id gebruikt als 'parameter' beetje dubbel op... of het een of het ander... en zo ie zo zou ik niet gaan includen op alleen $_GET['id'] maar zet bv alle pagina's in een 'array' en check of ze in deze array zitten; zo ja doe dan pas een include

dus iets van (uit het hoofd dus).

PHP:

<?
$mogelijk = array("pagina.html", "test.html","woei.html");

if (isSet($_GET['id']) && in_array($_GET['id'], $mogelijk))
{
    // ja pagina gevonden.
    $pagina = $_GET['id'];
}
elseif (!isSet($_GET['id']))
{
    $pagina = "inleiding.html";
}
else
{
    $pagina = "fout.html";
}

include($pagina);

?>

[krvabo]

Eigenlijk offtopic, maar dubbele aanhalingstekens zijn niet nodig bij dit.

PHP:

<?
$mogelijk = array('pagina', 'test', 'woei');
if (($_GET['id']) && in_array($_GET['id'], $mogelijk)) {
    // mag geinclude worden
    $pagina = $_GET['id'];
} elseif (!$_GET['id']) {
    // er is geen ?id= gebruikt
    $pagina = "inleiding";
} else {
    $pagina = "fout";
}
include $pagina.'.html';
?>

edit:
puntje

[ Voor 20% gewijzigd door krvabo op 21-11-2004 01:47 ]

[Verwijderd]

[verbetermodus]^^^ puntje vergeten op regel 12 voor de h van html [/verbetermodus]

[chris]

En om het helemaal netjes te doen:

PHP:

$mogelijk = array('pagina', 'test', 'woei');
if (isset($_GET['id']) && in_array($_GET['id'], $mogelijk)) {
    // mag geinclude worden
    $pagina = $_GET['id'];
} else if (!isset($_GET['id'])) {
    // er is geen ?id= gebruikt
    $pagina = "inleiding";
} else {
    $pagina = "fout";
}
include $pagina . '.html';

isset() toegevoegd en '.html' ipv 'html'.

[krvabo]

chris schreef op zondag 21 november 2004 @ 01:31:
En om het helemaal netjes te doen:

PHP:

if (isset($_GET['id']) && in_array($_GET['id'], $mogelijk)) {
} else if (!isset($_GET['id'])) {
} else { }
include $pagina . '.html';

isset() toegevoegd en '.html' ipv 'html'.

Het is netter, dat geef ik toe, maar isset is niet nodig. Ik weet ook niet of dit nog wordt veranderd in latere versies van php, dus het is wel 'veiliger' om het zo te doen.
En elseif mag aan elkaar hoor

[Grijze Vos]

krvabo schreef op zondag 21 november 2004 @ 01:50:
[...]

Het is netter, dat geef ik toe, maar isset is niet nodig. Ik weet ook niet of dit nog wordt veranderd in latere versies van php, dus het is wel 'veiliger' om het zo te doen.
En elseif mag aan elkaar hoor

Het geeft geen error, maar wel een warning.

[NMe]

Bovendien is het gewoon niet netjes. $_GET['id'] bevat een string, ook al is PHP dan niet strong-typed. Je gaat dus die string vergelijken met true (of 1), en dat zou in elke fatsoenlijke taal een fout opleveren. Dat het kan wil dus niet zeggen dat je het moet doen. Leer eenmaal ranzige dingen aan en je komt er nooit meer vanaf.

[Grijze Vos]

Of je leert het in eerste instantie niet goed (jeuj voor die ranzige scripts op sites als phpfreakz), en dan kom je er op een gegeven moment achter, en ben je flink wat uurtjes kwijt met rewrites.

[Verwijderd]

ik zie dat me code is overgenomen, 't idee is/was dus goed

[Verwijderd]

Oke bedankt allemaal hier mee gaat het lukken