php - 数字字段插入数据库安全吗？

Question

这个问题已经有答案了:

How can I prevent SQL injection in PHP? (27 个回答)

已关闭 5 年前。

我读过很多文章，在插入数据库或在 SQL 查询中使用之前需要检查和清理表单数据，我同意这一点。但如果我的表单中只有一个数字字段，我找不到答案:

<input type="number" class="form-control" name="max-persons" required>

我需要对其进行 sanitizer 吗？用户只能输入据我所知的数字。

$maxPersons = $_POST['max-persons'];
// or
$maxPersons = mysqli_real_escape_string($connect, $_POST['max-persons']);

我在这里主要担心 SQL 注入(inject)。

编辑:我不认为这与链接问题完全相同。我不是问如何防止 SQL 注入(inject)。我问我是否应该采取措施防止数字字段中的 SQL 注入(inject)。

Answer 1

拥有 type=number 字段不会改变您在插入表单之前是否需要清理表单；你绝对需要。

想象一下，如果有人只是检查元素并将其更改为文本。对于服务器来说，它是一个文本框，并且仍然会接受它作为发布数据。如果服务器端处理不当，可能会导致 SQL 注入(inject)。正如戈登在评论中所说。使用参数。

type=number 只是客户端的外观。如果有人想尝试闯入您的数据库，这不是限制。