如何修补LFI漏洞

Question

我想知道如何修补这段代码中的LFI问题？请建议修补此漏洞的好方法。

Answer 1

目录遍历/本地文件包含攻击只是无法验证用户输入的问题的一个症状。想想你在做什么:你从互联网上获取输入，然后把它传递给一个期望输入类型非常特殊的函数。

简单的回答是:验证所有用户的输入。

更长的答案是，在本例中，验证产品变量中的POSTed是相应目录中的合法文件名。

同样的前提是SQL注入是如何工作的。