Aprire i link esterni al dominio in un'altra finestra usando GET e header

Non sapevo che scrivere nel titolo :lol:

Allora, in poche parole devo creare una pagina:

link.php?out=LINK

Mi faccia un redirect a LINK.

Praticamente nei post dovrò sostituire

Codice:

---

<a href="LINK">Testo</a>

---

con

Codice:

---

<a href="link.php?out=LINK">Testo</a>

---

Ho fatto questo script:

Codice PHP:

---

if(!empty($_GET['link']))
{
$link = $_GET['link'];
header('Location: ' . $link );
}
else
{
header('Location: http://' . $board_config['server_name'] . $board_config['script_path']);
}


---

Però non mi pare per niente sicuro. Potreste, che ne so, rendere più sicuro lo script in qualche modo?

Grazie in anticipo :wink:

perchè non lo ritieni sicuro?

Ciauz!
Mattia

Mi pare troppo semplice per essere sicuro.

Magari cambiando valore a GET riescono fare qualche injection, non lo so, chiedo a voi per quello :sad:

non credo avrai problemi con un redirect, al massimo puoi controllare che l'input sia realmente un indirizzo.
magari se ci fosse stato un echo o un include avresti potuto avere problemi non controllando adeguatamente l'input.

Non ho ne input ne niente. Utilizzando il bbcode:

Codice HTML:

---

[url=LINK]Testo[/url]

---

Io trasformo il link in questo modo:

Codice PHP:

---

$html = '<a' . ($this->allow_styling && isset($item['params']['class']) ? '' : ' class="post-url"') . ' href="' . ( $url_local ? '' : 'out.php?link=') . htmlspecialchars($url) . '"' . ($url_local ? '' : ' target="_blank"') . $this->add_extras($item['params'], $extras) . '>';


---

Quindi se è interno, il link sarà:

Codice HTML:

---

[url=LINK]Testo[/url]

---

Altrimenti:

Codice HTML:

---

[url=out.php?link=LINK]Testo[/url]

---

Al massimo ci vorrebbe un controllo se viene inserito nella barra degli indirizzi, ma se mi dite che facendo un redirect non succede mi fido e lascio così :mrgreen:

Io metterei un trim nel get e anche una @ davanti!
Ciauu! ^^

Citazione:

---

Originalmente inviato da sIM

Io metterei un trim nel get e anche una @ davanti!
Ciauu! ^^

---

Per trim() ci ho pensato, avevo in mente anche una htmlspecialchars() ma non credo sia utile vero? :mrgreen:

la htmlspecialchars() sarebbe utile a livello w3c, in quanto:

<a href="pag.php?s=1&b=3">Link</a>

a volte da entità HTML sconosciuta su &b=

mentre
<a href="pag.php?s=1&amp;b=3">Link</a>

non dovrebbe dare grandi problemi

Sulla trasformazione del testo non ho problemi, ma vorrei solo essere sicuro che se uno passa un valore a ?link= non crei problemi di sicurezza :wink:

Ho risolto, secondo me, utilizzando le funzioni base64_encode() e base64_decode() :wink: