intvalまたはis_numeric？ PHP

Question

iは、MySQLデータベースからテキストを取得すると私は、URLにIDによってそれを得る：

site.php ID = 1とするので、SQLインジェクションを防ぐために最も安全であると考えられるもの

の？とスタッフ。この方法は正しいです：

<?php 
$news_id = $_GET['news_id']; 

if(!is_numeric($news_id)) die('Wrong'); 

//mysql_query and stuff here 
?> 

ORこの方法：

<?php 
$news_id = $_GET['news_id']; 

if(!intval($news_id)) die('Wrong'); 

//mysql_query and stuff here 
?> 

Answer 1

IS_NUMERICは、trueまたはfalseを返していませんINTVAL

$number = "4"; // string ? int ? 

、それをチェックするための良い方法ではありません。あなたが書いたようにそれを使うことはできません。 news_idが（> 0）正であると仮定すると、この1

if(intval($news_id) === (int)$news_id){ 
//code goes here 
} 

または

if(intval($news_id) == $news_id){ 
//code goes here 
} 

Answer 2

$news_id = (int)@$_GET['news_id']; 
if ($news_id <= 0) die ('Wrong'); 

を試してみてください。

Answer 3

intvalを使用すると、news_idが0でない場合、intvalは常に0を返します。したがって、news_id = 0は使用できません。あなたの場合、より適切で安全なのは is_numericです。

Answer 4

SQLインジェクション攻撃に対処する適切な方法である準備文を使用するだけではどうですか。

しかし、intvalを整数に変換し、それをプリペアドステートメントに入れるだけで、int値がゼロまたは負であるため、保護されます。クエリ。

Answer 5

if (preg_match("/^[1-9]+\d*$/", $news_id)){ 
    // you're good to go 
}