このextractの使い方は危険ですか？

質問

mysqlデータベースに登録されているdataテーブルの中身をすべて表示されたいとき
以下のコードを書いた場合、extractはセキュリティ的に問題はあるでしょうか？

$meirei="select * from data";
$kekka=mysql_query($meirei);

while($line=mysql_fetch_assoc($kekka)){
extract($line);
?>

<h1><?php print(htmlspecialchars($title,"ENT_QUOTES"); ?></h1>

<?php
}
?>

わかる方、ご回答よろしくお願い致します。

回答No.2

yambejp · ベストアンサー

＞extractはセキュリティ的に問題はあるでしょうか？

外部からのデータを処理するわけではないので
SQL側に完璧な形でデータを載せているならセキュリティ的には
ほぼ問題はありません。

ただし、実際問題extractを使うメリットよりデメリットの方が大きく、
想定しない変数の上書で想像以上のリスクを負うことになります。
かなり厳密なルールを設定しての運用でなければ高い確率で
破綻するでしょう

お礼

ご回答ありがとうございます。

万が一のことも考慮にいれて、extractはなるべく使わないようにしていこうと思います。。
アドバイスいただきありがとうございました。

回答No.1

shimix

dataテーブルの列名は「既知」ですから、セキュリティ的な問題はないです（予想していない変数が生成される怖れはない）。

ただextractする意味があるのかどうかと言えば、まずないです。素直に$line['title']などと書いた方がデータベースから取得して使っていることがわかりやすいです。

お礼

ご回答ありがとうございます。

そのまま$line["title"]のような形で書いていくことにしました。
アドバイスいただきありがとうございました。