PHP断言代码注入

Question

不确定在这种情况下是否有可能在$entityId中注入恶意代码，以及它是否将由php处理。

$entityId = $_GET["name"];

public function getMetaData($entityId) {
   assert('is_string($entityId)');
}

请注意，使用字符串作为断言是不推荐的，因为PHP7.2。

PHP断言

Answer 1

assert函数将使用一个静态参数，即字符串is_string($entityId)来调用。

由于单引号的使用，$entityId不会被内插，因此攻击者将无法执行任何PHP代码。