В этой статье говорится о том, как нарушения пользовательского ввода данных и неправильное управление сервером открывают лазейки для проникновения в систему хакеров.

Описание проблемы. Возьмем простую форму карточки товара, у которой имеются стандартные поля, и поле изображения (а может и не сколько таких полей) Заказчик видит форму и говорит: "Хочу чтобы при выборе картинок сразу появлялись preview и их можно было удалять/заменять". Надо так надо. Когда товар уже сохранен в БД проблем не возникает, вешаем событие на onchange поля выбора файлов и отправляем их на сервер (ajax), привязываем к текущему товару, генерируем preview и отдаем в ответ на ajax запрос...