Sanificazione intero di ingresso Database

Question

Ho un'applicazione che prende i dati tramite una richiesta POST. Sto usando questi dati per inserire una nuova riga nel database. So che usare mysql_real_escape_string() (oltre a rimuovere% e _) è la strada da percorrere per le stringhe, ma per quanto riguarda i valori interi? In questo momento, sto usando la funzione PHP intval() su di loro.

Tuttavia, volevo essere sicuro che intval() sia perfettamente sicuro. Non riesco a vedere un modo di un attaccante preformatura un attacco di SQL injection quando le variabili sono gestiti attraverso intval() prima (dal momento che restituisce sempre un numero intero), ma ho voluto assicurarsi che questo è il caso da parte di persone che hanno più esperienza di me .

Grazie.

Answer 1

Sì, intval() è sicuro. Non c'è assolutamente alcun modo di eseguire un'iniezione SQL quando il parametro viene convertito in numero intero, perché (ovviamente) il formato di un intero non consente di inserire parole chiave SQL (o virgolette o altro) in esso.

Answer 2

Il modo più semplice per prevenire SQL injection è di usare sempre statments preparati. Utilizzare le librerie mysqli o meglio ancora un ORM come dottrina ecc

Le query poi diventare qualcosa di simile:

$stmt = $db->prep_stmt("select * from .... where userid = ? and username = ?"); 

/* Binding 2 parameters. */ 
$stmt->bind_param("is", $userid, $username); 

$userid = 15; 
$username = "don"; 

/* Executing the statement */ 
$stmt->execute() or die ("Could not execute statement"); 

Answer 3

faccio sempre

$var = (int)$_POST['var']; 

per assicurarsi $ var viene gestita come un numero intero in tutte le circostanze e mai più $ _POST ['var'] di nuovo. Guardando il manuale, intval() fa esattamente la stessa cosa.

In qualsiasi modo, in sottosequenza $ var sarà un numero intero effettivo, che è abbastanza sicuro da gestire.

Answer 4

statment preparati è il modo migliore per affrontare sql injection. o utilizzare PDO altrimenti, intval è migliore di is_numeric