PHP：filter_var 消毒是否足够安全？

Question

我有一个包含以下行的 PHP 脚本：

$query = "SELECT * FROM products WHERE product_id='" . filter_var($_GET[id], FILTER_SANITIZE_NUMBER_INT) . "'";

这足够安全吗？ 你会如何改进这段代码？

Answer 1

在这种情况下是安全的，但对于更通用的方法，我宁愿将mysql_real_escape_string与类型转换结合使用：

$query = "SELECT * FROM products WHERE product_id='" . (int)mysql_real_escape_string($_GET['id']) . "'";

在最坏的情况下，这将导致0并且也会逃避所有恶意输入。 mysql_real_escape_string可用于各种数据以使其安全地进行查询，这使其成为所有转义/清理功能中最通用的。

无需使用准备好的语句，您可以使用 sprintf 来创建 SQL 并自动处理类型转换：

$query = sprintf("SELECT * FROM products WHERE product_id = '%d'", mysql_real_escape_string($_GET['id']));

有关语法，请参阅 PHP 手册中的sprintf条目。

如果您使用array_map转义所有$_GET和$_POST变量，它会变得更加简单，然后您可以按原样使用它们：

$_GET = array_map('mysql_real_escape_string', $_GET);
$_POST = array_map('mysql_real_escape_string', $_POST);

$query = sprintf("SELECT * FROM products WHERE product_id = '%d'", $_GET['id']);

Answer 2

我通常只使用intval ：

$product_id = intval($_GET['id']);
$query = "SELECT * FROM products WHERE product_id='" . $product_id . "'";

Answer 3

可能这对你有用......！

$query=query("SELECT * FROM products WHERE product_id= ". escape_string($_GET['id']) . " ");