Is (int) và is_int() có an toàn để bảo vệ chống lại việc tiêm SQL không?

Question

Vì vậy, tôi đã tự hỏi rằng điều này là đủ để được an toàn mà người dùng sẽ không làm bất kỳ tiêm SQL và số lượng sẽ được chỉ và luôn luôn số nguyên? Hàm $ id trong hàm getArticle được liên kết với truy vấn SQL.

<?php $id = (isset($_GET['id']) && is_int((int)$_GET['id'])) ? (int)$_GET['id'] : false ?> 
<?php $news = $class->getArticle($id) ?> 

Đến nay tôi đã thử nghiệm nó hoạt động tốt, nhưng vì tôi không hoàn toàn chắc chắn tôi thích hỏi bạn guyz! Ok, mọi người nói rằng các câu lệnh chuẩn bị sẽ thực hiện thủ thuật. Họ thực sự sẽ? Giống như, tôi có thể hoàn toàn chắc chắn rằng nếu ràng buộc param như số nguyên nó sẽ là số nguyên không có gì khác?

Cảm ơn trước!

Answer 1

Bạn có thể chỉ cần gõ quăng để loại thích hợp:

$number = intval($_GET['id']); 
$string = mysql_real_escape_string(strval($_GET['str'])); 

Để chắc chắn rằng bạn sẽ có được những gì bạn đang mong đợi.

Giải pháp tốt hơn là sử dụng Prepared statements để tránh phun sql.

Answer 2

Tôi không thể nghĩ cách nào có thể được sử dụng cho SQL-Injection. Vì vậy, tôi sẽ nói nó đủ an toàn.

Answer 3

chỉ cần sử dụng:

$id=(int)@$_GET['id']; 

nếu $ _GET [ 'id'] không được thiết lập $ id sẽ là 0.
nếu bạn muốn kiểm tra nếu id được thiết lập một cách chính xác sử dụng:

if ($id=(int)@$_GET['id']){ 
    // 
} else { 
    //invalid id 
} 

Answer 4

Sử dụng câu lệnh đã chuẩn bị. Không có lý do gì để KHÔNG sử dụng chúng. Sau đó, bạn không cần phải hỏi "Điều này có đủ tốt không?"