php中使用is_numberic函数注意事项
is_numberic函数在php用来判断数字,很多初学者喜欢利用is_numberic函数来判断外部提交的数据是否为安全的数字了,但须不知道is_numberic存在一个bug,下面我们一起来看看具体测试吧.
0×00 简介:国内一部分CMS程序里面有用到过is_numberic函数,我们先看看这个函数的结构:
bool is_numeric ( mixed $var )
is_numeric会判断一个字符串是否是数字类型,这很重要,比如-1,1.5 这类的数字在is_numberic中是返回true,因为是一个数字类型.
0×01 函数是否安全:接下来我们来看个例子,说明这个函数是否安全,代码如下:
- $s = is_numeric($_GET['s'])?$_GET['s']:0;
- $sql="insert into test(type)values($s);"; //是 values($s) 不是values('$s')
- mysql_query($sql);
上面这个片段程序是判断参数s是否为数字,是则返回数字,不是则返回0,然后带入数据库查询,这样就构造不了sql语句,我们把‘1 or 1’ 转换为16进制 0x31206f722031 为s参数的值,程序运行后,我们查询数据库看看.
如果再重新查询这个表的字段出来,不做过滤带入另一个SQL语句,将会造成2次注入.
0×02 总结:尽量不要使用这函数,如果要使用这个函数,建议使用规范的sql语句,条件加入单引号,这样16进制0x31206f722031就会在数据库里显示出来,而不会出现1 or 1.
如果我们要判断是否是数字我们可以通过 intval()函数来代替is_numeric函数这样上面的方法全部无效了,下面看个例子,代码如下:
- $id = intval($_GET['id']);
- echo intval(42); // 42
- echo intval(4.2); // 4
- echo intval('42'); // 42
- echo intval('+42'); // 42
- echo intval('-42'); // -42
- echo intval(042); // 34
- echo intval('042'); // 42
- echo intval(1e10); // 1410065408
- echo intval('1e10'); // 1
- echo intval(0x1A); // 26
- echo intval(42000000); // 42000000
- echo intval(420000000000000000000); // 0
- echo intval('420000000000000000000'); // 2147483647
- echo intval(42, 8); // 42//开源代码phpfensi.com
- echo intval('42', 8); // 34
intval最常用的是正在程序中功滤入进数据库的变质,将其转换为整型,避免SQL注进攻打的发生.