php - 清理整数数据库输入

Question

我有一个通过 POST 请求获取数据的应用程序。我正在使用这些数据将新行插入数据库。我知道使用 mysql_real_escape_string() (加上删除 % 和 _)是处理字符串的方法，但是整数值呢？现在，我正在使用PHP函数intval()在他们身上。

但是，我想确保 intval()是完全安全的。当变量通过 intval() 运行时，我看不到攻击者执行 SQL 注入(inject)攻击的方法。首先(因为它总是返回一个整数)，但我想确保比我有更多经验的人都是这种情况。

谢谢。

Answer 1

是的，intval() 是安全的。当参数转换为整数时，绝对无法执行 SQL 注入(inject)，因为(显然)整数的格式不允许在其中放入 SQL 关键字(或引号或其他任何内容)。