php - 在 php 中，sql 注入(inject)可以通过 is_numeric 函数实现吗？

Question

我可以安全地假设(如果我只是获取一个 ID 号码)is_numeric 足以阻止 sql 注入(inject)攻击吗？或者是否有可以通过 is_numeric 的 sql 注入(inject)方法？

Answer 1

你最好只做:

$id = isset($_GET['id']) ? (int) $_GET['id'] : 0;

这样你就可以避免 is_numeric 函数开销。不过，这两种方法都足以避免注入(inject)(只要在 is_numeric 返回 FALSE 时对数据执行某些操作)。如果所讨论的 $_GET 变量不存在，三元运算符还可以确保您不会收到 E_NOTICE。