php - 如何过滤函数参数

Question

过滤函数中传递的参数的正确方法是什么？目标是使函数安全，尤其是在使用数据库时。

例子:

function user_profile($user_id)
{
   //get user's profile data
   $query = "SELECT * FROM `users` WHERE `user_id` = $user_id";
}

$user_id 是一个 URI 段。

欢迎使用其他一般示例。

Answer 1

要转义字符串，请使用您在函数外部使用的相同方法:

$user_id= mysql_real_escape_string($user_id);

例如，如果您希望该值是一个整数，并且如果不是，则希望从函数返回错误，您可以执行以下操作:

if (!is_int($user_id)) {
  return FALSE;
}
else // do you query

或者，如果您希望它匹配某些特定模式，请使用 preg_match():

// For example, $user_id should be 4 letters and 4 numbers
if (!preg_match("/^[A-Z]{4}[0-9]{4}$/", $user_id)) {
   return FALSE;
}
else // do you query