Aprire i link esterni al dominio in un'altra finestra usando GET e header

Non sapevo che scrivere nel titolo

Allora, in poche parole devo creare una pagina:

link.php?out=LINK

Mi faccia un redirect a LINK.

Praticamente nei post dovrò sostituire

<a href="LINK">Testo</a>

con

<a href="link.php?out=LINK">Testo</a>

Ho fatto questo script:

if(!empty($_GET['link']))
{
    $link = $_GET['link'];
    header('Location: ' . $link );
}
else
{
    header('Location: http://' . $board_config['server_name'] . $board_config['script_path']);
} 

Però non mi pare per niente sicuro. Potreste, che ne so, rendere più sicuro lo script in qualche modo?

Grazie in anticipo

perchè non lo ritieni sicuro?

Ciauz!
Mattia

Mi pare troppo semplice per essere sicuro.

Magari cambiando valore a GET riescono fare qualche injection, non lo so, chiedo a voi per quello

[Xsescott]

non credo avrai problemi con un redirect, al massimo puoi controllare che l'input sia realmente un indirizzo.
magari se ci fosse stato un echo o un include avresti potuto avere problemi non controllando adeguatamente l'input.

Non ho ne input ne niente. Utilizzando il bbcode:

[url=LINK]Testo[/url]

Io trasformo il link in questo modo:

$html = '<a' . ($this->allow_styling && isset($item['params']['class']) ? '' : ' class="post-url"') . ' href="' . ( $url_local ? '' : 'out.php?link=') . htmlspecialchars($url) . '"' . ($url_local ? '' : ' target="_blank"') . $this->add_extras($item['params'], $extras) . '>'; 

Quindi se è interno, il link sarà:

[url=LINK]Testo[/url]

Altrimenti:

[url=out.php?link=LINK]Testo[/url]

Al massimo ci vorrebbe un controllo se viene inserito nella barra degli indirizzi, ma se mi dite che facendo un redirect non succede mi fido e lascio così

Io metterei un trim nel get e anche una @ davanti!
Ciauu! ^^

Io metterei un trim nel get e anche una @ davanti!
Ciauu! ^^

Per trim() ci ho pensato, avevo in mente anche una htmlspecialchars() ma non credo sia utile vero?

[matt93]

la htmlspecialchars() sarebbe utile a livello w3c, in quanto:

<a href="pag.php?s=1&b=3">Link</a>

a volte da entità HTML sconosciuta su &b=

mentre
<a href="pag.php?s=1&amp;b=3">Link</a>

non dovrebbe dare grandi problemi

Sulla trasformazione del testo non ho problemi, ma vorrei solo essere sicuro che se uno passa un valore a ?link= non crei problemi di sicurezza

Ho risolto, secondo me, utilizzando le funzioni base64_encode() e base64_decode()